SLEY — PoC de PinTheft (CVE-2026-43494)

Prueba de concepto — uid=1000(raken) → uid=0(root) después de ./sley en WSL2 (6.6.87.2-microsoft-standard-WSL2)

Prueba de concepto en un solo archivo para CVE-2026-43494 (PinTheft): una escalada de privilegios local del kernel de Linux que encadena un error de conteo de referencias en RDS zerocopy con búferes fijos de io_uring para sobrescribir la caché de páginas de un binario SUID root.

Aviso: Este repositorio es solo para investigación de seguridad autorizada, educación y pruebas defensivas. Ejecutar esto contra sistemas que no posee o carece de permiso explícito para probar es ilegal y poco ético. Los autores no asumen ninguna responsabilidad por el mal uso.

Descripción general

La investigación pública original y el PoC fueron publicados por el equipo V12 Security (Aaron Esau). SLEY es una reimplementación independiente y compacta con una interfaz de terminal estilizada para uso en laboratorio y aprendizaje.

Cómo funciona

flowchart LR
    A[mmap anonymous page] --> B[io_uring: register fixed buffer]
    B --> C[Clone buffer table to 2nd ring]
    C --> D[1024× failing RDS zerocopy sends]
    D --> E[Drain FOLL_PIN bias / steal refs]
    E --> F[munmap → page freed]
    F --> G[SUID binary page reclaimed in page cache]
    G --> H[Stale io_uring ptr writes ELF stub]
    H --> I[exec SUID → root shell]

1. Reconocimiento — Fijar a CPU 0, localizar un binario SUID legible (su, mount, passwd, …).
2. Configuración de io_uring — Registrar la página anónima como un búfer fijo (sesgo FOLL_PIN ≈ 1024).
3. Robo de pin — Inundar con envíos zerocopy fallidos de RDS; cada fallo puede eliminar una referencia extra en la primera página fijada.
4. Recuperación y sobrescritura — Unmap libera la página; reabrir el objetivo SUID compite con la recuperación de la caché de páginas; los metadatos obsoletos del búfer fijo permiten escribir un pequeño stub ELF x86_64 en la caché.
5. Escalada de privilegios — execve del binario SUID ejecuta el stub inyectado como root.

Requisitos

Kernel / configuración

• Kernel de Linux vulnerable (sin parche) con el error de RDS presente
• CONFIG_RDS=y y CONFIG_RDS_TCP=y
• CONFIG_IO_URING=y y kernel.io_uring_disabled = 0
• Módulos rds / rds_tcp cargados (o autocargables por usuarios no privilegiados)
• Kernel ≥ 6.13 para la API IORING_REGISTER_CLONE_BUFFERS utilizada por la cadena pública
• x86_64 para el payload ELF de shell incrustado en este PoC

Herramientas de compilación

sudo apt install build-essential linux-libc-dev   # Debian/Ubuntu
# or equivalent headers package on your distro

Permisos

• Un usuario local no privilegiado es suficiente en un host vulnerable (ese es el modelo de amenaza)
• No ejecutar en sistemas de producción

Verificar exposición (solo lectura)

# Patched? (example — adjust for your distro)
uname -r
grep -r CVE-2026-43494 /usr/share/doc/linux* 2>/dev/null || true

# RDS available?
grep CONFIG_RDS /boot/config-$(uname -r) 2>/dev/null
lsmod | grep -E '^rds'

# io_uring enabled?
cat /proc/sys/kernel/io_uring_disabled  # expect 0

Compilación

gcc -O2 -Wall -Wextra -o sley sley.c

Static linking (optional, for minimal lab images):

gcc -O2 -static -o sley sley.c

Uso

./sley

Toda la salida de estado va a stderr (interfaz ANSI de 256 colores, barra de progreso, registro por fases). Asegúrese de que su terminal soporte UTF-8 y truecolor/256 colores para la interfaz de dibujo de recuadros.

Ejemplo de fases:

PHASE 1 │ Reconnaissance
PHASE 2 │ Memory & io_uring setup
PHASE 3 │ Pin reference theft (RDS zerocopy)
PHASE 4 │ Page cache overwrite & privesc

Resultado esperado (host vulnerable)

En una configuración explotada con éxito, la cadena se completa y entrega el control al binario SUID descubierto con la primera página sobrescrita, lo que produce un shell root si la condición de carrera y el estado del kernel se alinean.

En kernels parcheados, hosts endurecidos o si falta RDS/io_uring, el PoC fallará temprano (sin objetivo SUID, errores de mmap/io_uring/socket, etc.).

Mitigación

Los avisos de seguridad específicos de la distribución pueden incluir parches backporteados: siga la cola de seguridad del kernel de su proveedor.

Estructura del proyecto

.
├── README.md              # This file
├── proof-of-concept.jpg   # Screenshot: successful LPE (uid 1000 → root)
├── sley.c                 # Single-file PoC + terminal UI
└── .gitignore

Referencias

• NVD — CVE-2026-43494
• oss-security — PinTheft discussion
• Kernel fix commit

Legal

Este software se proporciona tal cual para investigación y educación. Usted es responsable de cumplir con las leyes aplicables y de obtener autorización por escrito antes de probar cualquier sistema que no posea.

Licencia

MIT — consulte el archivo de licencia del repositorio si se agregó. Úselo de manera responsable.