LES: Linux-Privilege-Escalation-Audit-Tool

Schneller Download:

wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh -O les.sh

Details zur LES-Nutzung und zu den internen Abläufen:

https://blog.z-labs.eu/2019/05/10/les-paper.html

Zusätzliche Ressourcen für LES:

https://github.com/mzet-/les-res

Backlog

Name	CVE	in LES	Verifiziert auf	Referenz
CopyFail	CVE-2026-31431	Noch nicht	-	https://copy.fail/
DirtyFrag	CVE-2026-43284	Noch nicht	-	https://www.openwall.com/lists/oss-security/2026/05/07/8
DirtyAH6		Noch nicht	-	https://heyitsas.im/posts/lpe-quartet/
PPPoEject		Noch nicht	-	https://heyitsas.im/posts/lpe-quartet/
TUNderflow		Noch nicht	-	https://heyitsas.im/posts/lpe-quartet/
DiagSpill		Noch nicht	-	https://heyitsas.im/posts/lpe-quartet/
OVSwrap		Noch nicht	-	https://heyitsas.im/posts/ovswrap/
CIFSwith		Noch nicht	-	https://heyitsas.im/posts/cifswitch/
RefluXFS		Noch nicht	-	URL
vsockpwn	CVE-2025-21756	Noch nicht	-	https://hoefler.dev/articles/vsock.html
CrackArmor	mehrere	Noch nicht	-	URL
needrestart	mehrere	Noch nicht	-	https://www.qualys.com/2024/11/19/needrestart/needrestart.txt
StackRot	CVE-2023-3269	Noch nicht	-	https://www.openwall.com/lists/oss-security/2023/07/28/1

Zweck

Das LES-Tool dient dazu, Sicherheitsmängel eines bestimmten Linux-Kernels bzw. einer Linux-basierten Maschine zu erkennen. Es bietet folgende Funktionalität:

Bewertung der Exposition eines Linux-Systems gegenüber öffentlich bekannten Exploits

Das Tool bewertet (mithilfe heuristischer Methoden, die hier ausführlich erläutert werden) die Exposition des jeweiligen Linux-Systems gegenüber öffentlich bekannten Linux-Privilege-Escalation-Exploits. Beispiel für die Ausgabe des Tools:

$ ./linux-exploit-suggester.sh
...
[+] [CVE-2017-16995] eBPF_verifier

   Details: https://ricklarabee.blogspot.com/2018/07/ebpf-and-analysis-of-get-rekt-linux.html
   Exposure: highly probable
   Tags: debian=9.0{kernel:4.9.0-3-amd64},fedora=25|26|27,[ ubuntu=14.04 ]{kernel:4.4.0-89-generic},ubuntu=(16.04|17.04){kernel:4.(8|10).0-(19|28|45)-generic}
   Download URL: https://www.exploit-db.com/download/45010
   Comments: CONFIG_BPF_SYSCALL needs to be set && kernel.unprivileged_bpf_disabled != 1

[+] [CVE-2017-1000112] NETIF_F_UFO

   Details: http://www.openwall.com/lists/oss-security/2017/08/13/1
   Exposure: probable
   Tags: [ ubuntu=14.04{kernel:4.4.0-*} ],ubuntu=16.04{kernel:4.8.0-*}
   Download URL: https://raw.githubusercontent.com/xairy/kernel-exploits/master/CVE-2017-1000112/poc.c
   ext-url: https://raw.githubusercontent.com/bcoles/kernel-exploits/cve-2017-1000112/CVE-2017-1000112/poc.c
   Comments: CAP_NET_ADMIN cap or CONFIG_USER_NS=y needed. SMEP/KASLR bypass included. Modified version at 'ext-url' adds support for additional distros/kernels

[+] [CVE-2016-8655] chocobo_root

   Details: http://www.openwall.com/lists/oss-security/2016/12/06/1
   Exposure: probable
   Tags: [ ubuntu=(14.04|16.04){kernel:4.4.0-(21|22|24|28|31|34|36|38|42|43|45|47|51)-generic} ]
   Download URL: https://www.exploit-db.com/download/40871
   Comments: CAP_NET_RAW capability is needed OR CONFIG_USER_NS=y needs to be enabled
...

Für jeden Exploit wird die Exposition berechnet. Folgende 'Exposure'-Zustände sind möglich:

Highly probable – der bewertete Kernel ist höchstwahrscheinlich betroffen und es besteht eine sehr gute Chance, dass der PoC-Exploit ohne größere Modifikationen direkt funktioniert.
Probable – es ist möglich, dass der Exploit funktioniert, aber höchstwahrscheinlich ist eine Anpassung des PoC-Exploits an das Ziel erforderlich.
Less probable – zusätzliche manuelle Analyse ist erforderlich, um zu prüfen, ob der Kernel betroffen ist.
Unprobable – höchst unwahrscheinlich, dass der Kernel betroffen ist (der Exploit wird in der Ausgabe des Tools nicht angezeigt)

Überprüfung des Zustands der Kernel-Hardening-Sicherheitsmaßnahmen

LES kann die meisten der von Ihrem Linux-Kernel verfügbaren Sicherheitseinstellungen prüfen. Es überprüft nicht nur die Compile-Time-Konfigurationen des Kernels (CONFIGs), sondern auch die Laufzeiteinstellungen (sysctl), was ein vollständigeres Bild der Sicherheitslage eines laufenden Kernels liefert. Diese Funktionalität ist als moderne Fortsetzung des --kernel-Schalters für das Tool checksec.sh von Tobias Klein gedacht. Beispiel der Tool-Ausgabe:

$ ./linux-exploit-suggester.sh --checksec

Mainline kernel protection mechanisms:

 [ Disabled ] GCC stack protector support (CONFIG_HAVE_STACKPROTECTOR)
              https://github.com/mzet-/les-res/blob/master/features/stackprotector-regular.md

 [ Disabled ] GCC stack protector STRONG support (CONFIG_STACKPROTECTOR_STRONG)
              https://github.com/mzet-/les-res/blob/master/features/stackprotector-strong.md

 [ Enabled  ] Low address space to protect from user allocation (CONFIG_DEFAULT_MMAP_MIN_ADDR)
              https://github.com/mzet-/les-res/blob/master/features/mmap_min_addr.md

 [ Disabled ] Restrict unprivileged access to kernel syslog (CONFIG_SECURITY_DMESG_RESTRICT)
              https://github.com/mzet-/les-res/blob/master/features/dmesg_restrict.md

 [ Enabled  ] Randomize the address of the kernel image (KASLR) (CONFIG_RANDOMIZE_BASE)
              https://github.com/mzet-/les-res/blob/master/features/kaslr.md

 [ Disabled ] Hardened user copy support (CONFIG_HARDENED_USERCOPY)
              https://github.com/mzet-/les-res/blob/master/features/hardened_usercopy.md

...

Verwendung

Bewerten Sie die Exposition der Linux-Box gegenüber öffentlich bekannten Exploits:

$ ./linux-exploit-suggester.sh

Zeigt den Status der Sicherheitsfunktionen auf der Linux-Maschine an:

$ ./linux-exploit-suggester.sh --checksec

Bewerte die Exposition des Linux-Kernels gegenüber öffentlich bekannten Exploits basierend auf der bereitgestellten 'uname'-Zeichenkette (d. h. der Ausgabe des Befehls uname -a):

$ ./linux-exploit-suggester.sh --uname <uname-string>

Weitere Anwendungsbeispiele finden Sie hier.

Mitmachen

Sie wissen hoffentlich inzwischen, was LES ist und was es für Sie tun kann. Nun sehen Sie, was Sie für LES tun können:

linux-exploit-suggester

Beliebteste