BAD_GARBAGE.c

CVE-2026-53361 — un use-after-free sin privilegios y capaz de escapar del contenedor en el recolector de basura de sockets AF_UNIX. Esta es la versión de vector único (solo MSG_PEEK).

El fallo

El GC de AF_UNIX recupera los sockets «in-flight» que forman ciclos de referencia inalcanzables. Un MSG_PEEK concurrente sobre un fd in-flight toma una referencia que el censo del GC nunca cuenta, por lo que el recolector puede liberar un socket que sigue vivo y dejar un sk_buff colgante. Se supone que el peek retrocede mientras se ejecuta una recolección, pero el indicador gc_in_progress que comprueba puede leerse como false a mitad de ejecución, de modo que el peek se cuela y la condición de carrera queda abierta.

La misma interacción, corregida tres veces:

• CVE-2021-0920 — cbcf01128d0a "af_unix: fix garbage collect vs MSG_PEEK"
• CVE-2026-23394 — e5b31d988a41 "af_unix: Give up GC if MSG_PEEK intervened"
• CVE-2026-53361 — d82ba05263c6 "af_unix: Set gc_in_progress to true in unix_gc()"

Objetivos

Vulnerable = afectado por el fallo. Cubierto = incluido en este exploit (vector único MSG_PEEK). Los kernels 7.x y el kernel Ubuntu 6.8 GA son vulnerables, pero quedan fuera del alcance aquí.

Algunos kernels probados

Notas

• Número de CPUs — diseñado para menos de 8 CPUs (2–7). Una elección, no una peculiaridad de fiabilidad: la estrategia limpia order-N se omite a propósito; no merece la pena exponerla para un bug de -1 day.
• Blindaje de caché SLUB — la mayor parte del código de blindaje/sombreado de caché se eliminó del PoC. La fase de fuga de SID puede colisionar ocasionalmente con un kmalloc() espurio de bajo orden o con una reutilización específica de PCP por caché (anon_vma, kmalloc-64 y afines); los buckets superiores son seguros, las cachés dedicadas y los buckets inferiores no lo son. Añade tu propio blindaje para acercarlo al ~100%.