DiagSpill (CVE-2026-74469)

Writeup

[!WARNING] El PoC se proporciona únicamente para ayudar a defensores, mantenedores y equipos de seguridad autorizados a validar parches, mitigaciones, detecciones y exposición en sistemas que poseen o están explícitamente autorizados a probar.

Usted es el único responsable de garantizar que su uso de este material sea lícito, autorizado, controlado y se realice en un entorno de prueba aislado.

[!WARNING] Este PoC es destructivo. Sobrescribe aproximadamente 8 MiB de memoria del kernel y deja tablas de páginas corruptas retenidas por el portador de memoria sacrificial diagspill_hold hasta el reinicio. Matar ese proceso puede desestabilizar el kernel.

Memoria no relacionada puede corromperse y la máquina puede entrar en pánico. Ejecútelo solo en una VM desechable/host desechable.

El PoC:

1. compila el exploit en C embebido (que hace lo siguiente)
2. coloca los skbs de respuesta de diagnóstico SCTP junto a un gran reservorio de tablas de páginas y inicia 2.048 procesos trabajadores de credenciales
3. crea una asociación SCTP con 81.920 transportes pares, cuyo recuento de 16 bits es 16.384, luego solicita a sock_diag una respuesta dimensionada para 16.384 pares mientras el bucle de copia escribe los 81.920
4. convierte las entradas PMD sobrescritas en mapeos de RAM física legibles y escribibles por el usuario, luego los escanea en busca de las credenciales activas de los trabajadores, y
5. pone a cero los campos UID/GID de un trabajador, usa ese trabajador para instalar una regla temporal de sudoers, abre un shell de root mediante sudo y desvincula el proceso que retiene los mapeos corruptos.

El PoC asume y tiene como objetivo x86-64 para mantener las cosas simples. En teoría, el bug no debería ser específico de arquitectura.

Requisitos

Enumerando exhaustivamente para completitud:

• Ubuntu 24.04 con 6.17.0-35-generic, o Fedora 44 con 6.19.10-300.fc44.x86_64 (puede intentar eliminar estas comprobaciones, pero otras distros/versiones de kernel pueden requerir personalización/ajuste por objetivo)
• x86-64 con páginas de 4 KiB, exactamente cuatro CPUs lógicas en línea, CPUs 0-3 en la máscara de afinidad del proceso, y MemTotal entre 3.700.000 y 4.200.000 KiB
• Una cuenta ordinaria cuyos valores real, efectivo y guardado de UID/GID coincidan
• Un nombre de cuenta que contenga solo letras, dígitos, _ o -
• Sin acceso de lectura preexistente a /root ni sudo sin contraseña
• Soporte de kernel para SCTP y sctp_diag, asignación de páginas enormes transparentes, suficientes límites de procesos/archivos para 2.048 trabajadores y el muro de sockets de diagnóstico, y suficiente espacio de direcciones x86-64 y memoria para retener aproximadamente 2.343 MiB de tablas de páginas en Ubuntu o 3.125 MiB en Fedora
• Un include funcional de /etc/sudoers.d y un /usr/bin/sudo ejecutable
• Cosas varias de espacio de usuario (que las distros probadas en alcance deberían tener mayormente por defecto): Python 3.9+, /usr/bin/env, con libc y cabeceras de desarrollo de Linux UAPI, , , , y

El PoC es muy sensible al número de vCPU/RAM, por lo que impone 4 vCPUs y 4 GB de RAM. Probablemente necesitará personalización/ajuste por objetivo para otras combinaciones de vCPU/memoria.

Ejecútelo como un usuario sin privilegios con una entrada en passwd; el PoC puede tardar un poco en construir la gran asociación SCTP.

Uso

python3 diagspill_root_repro.py

Después de una ejecución (exitosa o no), reinicie la máquina para liberar diagspill_hold por seguridad. Si lo mata directamente, casi con certeza desestabilizará el kernel.