---

📌 Aperçu

PinTheft est un exploit de root local sophistiqué pour CVE-2026-43494, un bug de comptage de références dans le sous-système Reliable Datagram Sockets (RDS) du noyau Linux.

En combinant un double-free dans le chemin zero-copy de RDS avec les tampons fixes d'io_uring, l'exploit réalise un écrasement fiable du cache de pages de binaires SUID-root, entraînant une escalade de privilèges locale vers root.

Une petite erreur de comptabilité dans un chemin réseau obscur devient une LPE fiable lorsqu'elle est mélangée aux fonctionnalités modernes d'io_uring.

---

🧪 Détails de la vulnérabilité

• Composant : net/rds
• Déclencheur : Chemin d'échec dans rds_message_zcopy_from_user() → gestion incorrecte de op_nents
• Cause racine : Double put_page() après un échec de iov_iter_get_pages2()
• Impact : Un utilisateur local non privilégié → root

Score CVSS : ~7.8 (Élevé)

---

🎯 Technique d'exploit ("PinTheft")

1. Épingler la page cible en utilisant io_uring REGISTER_BUFFERS (+1024 références FOLL_PIN)
2. Cloner les tampons vers un second anneau + les conserver avec un démon (empêche le désépinglage à la fermeture)
3. Voler les 1024 épingles en utilisant des sendmsg RDS zero-copy qui échouent de manière répétée
4. munmap() → libération propre vers PCP (LIFO)
5. Déclencher la récupération du cache de pages d'un binaire SUID lisible
6. Écraser la page récupérée en utilisant IORING_OP_READ_FIXED via un struct page* pendant
7. Exécuter le binaire SUID modifié → shell root

Contournements :

• CONFIG_INIT_ON_ALLOC_DEFAULT_ON
• Vérifications bad_page()
• Désépinglage io_uring lors de la destruction de l'anneau

---

📋 Prérequis

• Noyau avec CONFIG_RDS et CONFIG_RDS_TCP activés
• io_uring activé (kernel.io_uring_disabled=0)
• Noyau ≥ 6.13 (pour des fonctionnalités io_uring optimales)
• Au moins un binaire SUID-root lisible sur le système
• Architecture x86_64

Non vulnérable par défaut sur la plupart des distributions (RDS est rarement activé).

---

🚀 Utilisation

# 1. Cloner et compiler
git clone https://github.com/0xBlackash/CVE-2026-43494.git
cd CVE-2026-43494
gcc -O2 -static CVE-2026-43494.c -o pintheft

# 2. Exécuter
sudo ./pintheft

---

📁 Fichiers

• CVE-2026-43494.c — Code source complet de l'exploit (PinTheft)
• README.md — Ce document
• backup/ — Sauvegardes automatiques des binaires SUID écrasés

---

🛡️ Atténuation

# Désactiver RDS
echo "install rds /bin/false" | sudo tee /etc/modprobe.d/disable-rds.conf
echo "install rds_tcp /bin/false" | sudo tee -a /etc/modprobe.d/disable-rds.conf
sudo modprobe -r rds_tcp rds

# Désactiver io_uring (si inutilisé)
echo "kernel.io_uring_disabled=2" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Mettez à jour votre noyau dès que des correctifs sont disponibles.

---

🔍 Vérification

# Vérifier si vulnérable
modprobe -n rds_tcp && echo "RDS : Vulnérable"
cat /proc/sys/kernel/io_uring_disabled
uname -r

---

⚠️ Avertissement

• Cet exploit est destiné uniquement à des fins éducatives et de tests autorisés.
• Une mauvaise utilisation peut déstabiliser le système ou entraîner une perte de données.
• Testez toujours dans des machines virtuelles isolées.

---

📜 Crédits

• Découverte et PoC : Ashraf Zaryouh "0xBlackash"
• Attribution CVE : MITRE
• Divulgation publique : 23 mai 2026

---

Fait avec ❤️ pour la communauté de recherche en sécurité

Restez curieux. Restez en sécurité.