Informe de análisis de exploits de CVE del kernel de Linux y entorno de depuración relacionado. Ya no necesitas compilar el kernel de Linux ni configurar tu entorno.
Sigue actualizándose......
Informe de análisis de exploits de CVEs del kernel de Linux y entorno de depuración relacionado. Ya no necesitas compilar el kernel de Linux ni configurar tu entorno.
Este repositorio está pensado para recopilar todos los exploits del kernel de Linux y el entorno de depuración relacionado. Puedes usar Qemu para arrancar el kernel y probar el exploit.
john@john-virtual-machine:~/Desktop/kernel-exploit-factory/CVE-2017-11176$ ./start.sh chmod: /dev/csaw: No such file or directory ifconfig: SIOCSIFADDR: No such device route: SIOCADDRT: No such device / $ uname -a Linux (none) 4.11.9 #1 SMP Sat Feb 20 21:52:39 CST 2021 x86_64 GNU/Linux / $ id uid=1000(chal) gid=1000(chal) groups=1000(chal) / $ cd exp /exp $ ./exp-slab-4119 [] sk_rmem_alloc > sk_rcvbuf ==> ok [] mq_notify start [*] wake up thread 1 ... ... /exp # id uid=0(root) gid=0(root) /exp #
---
## Catálogo
1. CVE-2015-8550
2. CVE-2016-9793
3. 4-20-BPF-integer
4. CVE-2017-5123
5. CVE-2017-6074
6. CVE-2017-7308
7. CVE-2017-8890
8. CVE-2017-11176
9. CVE-2017-16995
10. CVE-2017-1000112
11. CVE-2018-5333
12. CVE-2019-9213 & CVE-2019-8956
13. CVE-2019-15666
14. CVE-2020-8835
15. CVE-2020-27194
16. CVE-2021-3156
17. CVE-2021-31440
18. CVE-2021-3490
19. CVE-2021-22555
20. CVE-2021-41073
21. CVE-2021-4154
22. CVE-2021-42008
23. CVE-2021-43267
24. CVE-2022-0185
25. CVE-2022-0847
26. CVE-2022-0995
27. CVE-2022-1015
28. CVE-2022-2588
29. CVE-2022-2602
30. CVE-2022-2639
31. CVE-2022-25636
32. CVE-2022-27666
33. CVE-2022-32250
34. CVE-2022-34918
35. CVE-2023-2598
36. CVE-2024-1086
37. CVE-2025-21702
38. CVE-2026-23271
---
## Detalle
#### 1.CVE-2015-8550
[writeup](https://blog.csdn.net/panhewu9919/article/details/100891770)
**Versión de prueba**: Linux-4.19.65
**Protección**: KASLR/SMEP activados, SMAP no activado.
**Vulnerabilidad**: vulnerabilidad **Double-Fetch** causada por la optimización de compilación de gcc, que permite secuestrar directamente el flujo de control.
#### 2. CVE-2016-9793
[writeup](https://blog.csdn.net/panhewu9919/article/details/120164051)
**Versión de prueba**: Linux-4.8.13
**Protección**: KASLR/SMAP/SMEP no activados. La estructura [skb_shared_info](https://elixir.bootlin.com/linux/v4.8.13/source/include/linux/skbuff.h#L414) falsificada se encuentra en el espacio de usuario, por lo que obviamente no puede omitir SMAP.
**Vulnerabilidad**: la función [sock_setsockopt()](https://elixir.bootlin.com/linux/v4.8.13/source/net/core/sock.c#L658) en `net/core/sock.c` **maneja incorrectamente los valores negativos**, lo que hace que `sk_sndbuf` y `sk_rcvbuf` tomen valores negativos. Al llamar a `write`, `skb->head` y `skb->end` se establecen incorrectamente; finalmente, al llamar a `close` para liberar, se accede al espacio de usuario y se produce un error. Se falsifica una estructura [skb_shared_info](https://elixir.bootlin.com/linux/v4.8.13/source/include/linux/skbuff.h#L414) en la dirección de espacio de usuario `0xfffffed0`, y se secuestra el flujo de control mediante `skb_shared_info->destructor_arg->callback`.
#### 3. 4-20-BPF-integer
[writeup](https://www.cnblogs.com/bsauce/p/11560224.html)
**Versión de prueba**: Linux-4.20.0-rc3
**Protección**: SMEP activado, KASLR/SMAP no activados.
**Vulnerabilidad**: vulnerabilidad de **desbordamiento de entero** en `queue_stack_map_alloc()` del módulo eBPF de Linux, que provoca un desbordamiento de montón. Se modifica el puntero de la tabla virtual para secuestrar el flujo de control hacia `xchg eax, esp`.
#### 4.CVE-2017-5123
[writeup](https://www.jianshu.com/p/90a040114188)
**Versión de prueba**: Linux 4.14-rc4
**Protección**: SMEP/SMAP activados, KASLR desactivado.
**Vulnerabilidad**: la implementación de `waitid` en `/kernel/exit.c`, al llamar a `unsafe_put_user()` para copiar datos del kernel a direcciones de espacio de usuario, no llama a `access_ok()` para verificar la legitimidad de la dirección de espacio de usuario, por lo que en realidad se pueden copiar datos a direcciones de espacio del kernel. **waitid no verifica la legitimidad de la dirección de usuario, lo que permite una escritura null en dirección arbitraria**. Se puede ejecutar shellcode en la dirección 0 o sobrescribir cred en un rango adivinado para escalar privilegios.
#### 5.CVE-2017-6074
[writeup](https://bsauce.github.io/2021/09/17/CVE-2017-6074/) [referencia](https://github.com/xairy/kernel-exploits/tree/master/CVE-2017-6074)
**Versión de prueba**: Linux-4.9.12
**Protección**: SMEP/SMAP activados, kASLR desactivado.
**Vulnerabilidad**: la función [dccp_rcv_state_process()](https://elixir.bootlin.com/linux/v4.9.12/source/net/dccp/input.c#L574) en `net/dccp/input.c` del protocolo DCCP (Protocolo de Control de Congestión de Datagramas) de la familia de protocolos IP V6 del kernel de Linux maneja incorrectamente la estructura de datos del paquete `DCCP_PKT_REQUEST` en estado `LISTEN`; cuando el usuario llama a `setsockopt()` con la opción `IPV6_RECVPKTINFO`, se dispara un **Double-Free de la estructura `sk_buff`**. La técnica de explotación es similar a CVE-2016-8655. La primera vez que se dispara la vulnerabilidad, se rocía el heap falsificando la estructura `po->rx_ring->prb_bdqc->retire_blk_timer` y se ejecuta `native_write_cr4(0x406e0)` para desactivar SMEP/SMAP; la segunda vez, se rocía el heap falsificando la estructura `skb-> ... ->destructor_arg` y se ejecuta `commit_creds(prepare_kernel_cred(0))` para escalar privilegios.
#### 6.CVE-2017-7308
[writeup](https://www.jianshu.com/p/b53862cd64a6) [referencia](https://github.com/xairy/kernel-exploits/tree/master/CVE-2017-7308)
**Versión de prueba**: Linux-4.10.6
**Protección**: SMEP/SMAP activados, KASLR desactivado.
**Vulnerabilidad**: la función [`packet_set_ring()`](https://elixir.bootlin.com/linux/v4.10.6/source/net/packet/af_packet.c#L4181) en `net/packet/af_packet.c` no verifica correctamente el tamaño del bloque; la condición de comprobación de longitud es incorrecta, lo que provoca un **desbordamiento de montón**. Requiere privilegios `CAP_NET_RAW`. Se secuestran punteros de función dos veces: primero se desactiva la protección SMEP/SMAP y luego se escalan privilegios.
#### 7.CVE-2017-8890
[writeup](https://www.jianshu.com/p/699de662f567) [referencia](https://xz.aliyun.com/t/2383)
**Versión de prueba**: Linux-4.10.15
**Protección**: SMEP activado, kASLR y SMAP desactivados.
**Vulnerabilidad**: la función [`inet_csk_clone_lock()`](https://elixir.bootlin.com/linux/v4.10.15/source/net/ipv4/inet_connection_sock.c#L652) en el archivo `net/ipv4/inet_connection_sock.c` contiene una vulnerabilidad de **Double-Free**. Se utiliza el Double-Free para alterar el puntero de la función de callback de RCU, desactivar SMEP y saltar al shellcode para modificar cred.
#### 8.CVE-2017-11176
[writeup](https://www.jianshu.com/p/76041ec5c59f)
**Versión de prueba**: Linux-4.11.9
**Protección**: SMEP activado, kASLR y SMAP desactivados.
**Vulnerabilidad**: en la implementación de las colas de mensajes POSIX del kernel de Linux, la función `mq_notify()` no pone a null el puntero sock, lo que causa un UAF. En realidad se trata de una vulnerabilidad de **Double-Free debida a una condición de carrera**, pero la ventana de la carrera se puede extender indefinidamente.
#### 9.CVE-2017-16995
[writeup](https://www.cnblogs.com/bsauce/p/11583310.html)
**Versión de prueba**: Linux-4.4.110
**Protección**: SMEP/SMAP/kASLR activados.