CVE-2026-23111 — Linux-Kernel nf_tables UAF → LPE

Ein funktionierender Exploit zur lokalen Rechteausweitung für CVE-2026-23111, einen Use-after-free im Linux-Kernel-Subsystem nf_tables. Getestet auf linux-6.12.69 (x86-64).

Zielanforderungen

Der Exploit setzt einen Ziel-Kernel voraus, der mit folgenden Optionen gebaut wurde:

Die Offsets in offsets.h sind spezifisch für einen Kernel-Build — für jeden anderen Kernel müssen sie neu generiert werden

Repository-Struktur

Build

Erfordert musl-gcc (sudo apt install musl-tools).

make          # builds exp + rootme (static ELFs)
make clean    # remove built binaries

Beide Binaries sind statisch, damit sie in einem minimalen busybox-initramfs ohne Shared Libraries laufen. exp erwartet rootme daneben unter /cve-2026-23111-poc/ auf dem Ziel.

Portierung auf einen anderen Kernel

offsets.h wird aus einem bestimmten Build generiert. Für ein anderes vmlinux:

make offsets SYSTEM_MAP=/path/to/System.map

gen_offsets.sh extrahiert Symbole (single_start, modprobe_path, init_ipc_ns, msleep, memcpy, …) und ROP-Gadgets, alle als Offsets von der Kernel-Basis. Zusätzlich müssen die in exp.c eingebrannten Struct-Offsets (nft_chain-Layout, nft_expr_ops.validate, init_ipc_ns + 0x110, msg_queue.q_messages, xa_node.slots) mit pahole / Disassembly neu verifiziert werden, falls der Kernel maßgeblich von 6.12.x abweicht.

Haftungsausschluss

Dieser Code wird für defensive Sicherheitsforschung und Bildung veröffentlicht. Er zielt auf eine Labor-VM mit einem bekannten verwundbaren Kernel. Verwende ihn nicht gegen Systeme, die dir nicht gehören oder die du nicht testen darfst. Der Autor übernimmt keine Haftung für Missbrauch.