🛠️ PinTheft — CVE-2026-43494

Escalada de Privilegios Local en el Kernel de Linux mediante RDS + Sobrescritura de Caché de Páginas con io_uring

📌 Resumen

PinTheft es un exploit de root local sofisticado para CVE-2026-43494, un error de conteo de referencias en el subsistema de Sockets de Datagramas Confiables (RDS) del kernel de Linux.

Al combinar un doble-fallo en la ruta de copia cero de RDS con los búferes fijos de io_uring, el exploit logra una sobrescritura confiable de la caché de páginas de binarios SUID-root, resultando en una escalada de privilegios local a root.

Un pequeño error contable en un camino de red oscuro se convierte en un LPE confiable cuando se mezcla con características modernas de io_uring.

🧪 Detalles de la Vulnerabilidad

• Componente: net/rds
• Disparador: Ruta de fallo en rds_message_zcopy_from_user() → manejo incorrecto de op_nents
• Causa Raíz: Doble put_page() después de un fallo en iov_iter_get_pages2()
• Impacto: Usuario local sin privilegios → root

Puntuación CVSS: ~7.8 (Alta)

🎯 Técnica del Exploit ("PinTheft")

1. Anclar la página objetivo usando io_uring REGISTER_BUFFERS (+1024 referencias FOLL_PIN)
2. Clonar los búferes a un segundo anillo y mantenerlos con un demonio (evita que se desanclen al cerrar)
3. Robar las 1024 anclajes usando repetidos fallos de sendmsg de copia cero de RDS
4. munmap() → liberación limpia al PCP (LIFO)
5. Desencadenar la reclamación de la caché de páginas de un binario SUID legible
6. Sobrescribir la página reclamada usando IORING_OP_READ_FIXED a través de un struct page* colgante
7. Ejecutar el binario SUID modificado → shell de root

Derivaciones:

• CONFIG_INIT_ON_ALLOC_DEFAULT_ON
• Verificaciones de bad_page()
• Desanclado de io_uring al destruir el anillo

📋 Requisitos

• Kernel con CONFIG_RDS y CONFIG_RDS_TCP habilitados
• io_uring habilitado (kernel.io_uring_disabled=0)
• Kernel ≥ 6.13 (para características óptimas de io_uring)
• Al menos un binario SUID-root legible en el sistema
• Arquitectura x86_64

No vulnerable por defecto en la mayoría de las distribuciones (RDS rara vez está habilitado).

🚀 Uso

# 1. Clonar y compilar
git clone https://github.com/0xBlackash/CVE-2026-43494.git
cd CVE-2026-43494
gcc -O2 -static CVE-2026-43494.c -o pintheft

# 2. Ejecutar
sudo ./pintheft

📁 Archivos

• CVE-2026-43494.c — Código fuente completo del exploit (PinTheft)
• README.md — Este documento
• backup/ — Copias de seguridad automáticas de los binarios SUID sobrescritos

🛡️ Mitigación

# Deshabilitar RDS
echo "install rds /bin/false" | sudo tee /etc/modprobe.d/disable-rds.conf
echo "install rds_tcp /bin/false" | sudo tee -a /etc/modprobe.d/disable-rds.conf
sudo modprobe -r rds_tcp rds

# Deshabilitar io_uring (si no se usa)
echo "kernel.io_uring_disabled=2" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Actualice su kernel tan pronto como los parches estén disponibles.

🔍 Verificación

# Verificar si es vulnerable
modprobe -n rds_tcp && echo "RDS: Vulnerable"
cat /proc/sys/kernel/io_uring_disabled
uname -r

⚠️ Aviso Legal

• Este exploit es solo para fines educativos y pruebas autorizadas.
• El mal uso puede desestabilizar el sistema o causar pérdida de datos.
• Pruebe siempre en máquinas virtuales aisladas.

📜 Créditos

• Descubrimiento y PoC: Ashraf Zaryouh "0xBlackash"
• Asignación CVE: MITRE
• Divulgación Pública: 23 de mayo de 2026

Hecho con ❤️ para la comunidad de investigación en seguridad

Mantén la curiosidad. Mantente a salvo.