skoveit/cve-2026-32941CVE-2026-32941 PoC - Sliver Remote OOM
Eine frameworkweite Schwachstelle in Sliver C2 ermöglicht einen nicht authentifizierten, entfernten Denial-of-Service-Angriff, indem eine unkontrollierte Speicherzuweisung (CWE-789 / CWE-400) ausgelöst wird, was zu einem prozessweiten Out-of-Memory-Absturz (OOM) führt.
Referenzen: Tenable
Reproduktionsschritte:
Zugangsdaten extrahieren: Besorgen Sie das mTLS-Zertifikat und den privaten Schlüssel von einem erfassten oder generierten Sliver-Implant.
PoC bearbeiten: Öffnen Sie mtls_poc.go und ersetzen Sie die Platzhalterwerte im var-Block (c2Endpoint, clientCertPEM, clientKeyPEM) durch Ihre extrahierten Zugangsdaten.
Führen Sie den Exploit gegen den Sliver-Server aus:
go run mtls_poc.go
Der Exploit missbraucht die Funktion socketReadEnvelope, indem er ein bösartiges uint32-Längenpräfix (bis zu 2 GiB) sendet. Da der Server diesen Speicher zuweist, bevor er die Ed25519-Signatur überprüft, und yamux bis zu 128 gleichzeitige Streams zulässt, kann ein Angreifer den Server dazu zwingen, nahezu augenblicklich ~256 GiB an Speicherzuweisungen zu versuchen.
Der OOM-Killer des Linux-Kernels greift ein, sobald der Systemspeicher erschöpft ist, was zu einem SIGKILL des sliver-server-Prozesses führt.
Sie können dies verifizieren, indem Sie den Serverstatus prüfen:
sudo dmesg | grep -i "kill"
systemctl status sliver
Offizielles Advisory GHSA-97vp-pwqj-46qc
Free Palestine