bsauce/kernel-exploit-factoryRapport d'analyse d'exploits CVE du noyau Linux et environnement de débogage associé. Vous n'avez plus besoin de compiler le noyau Linux ni de configurer votre environnement.
Mises à jour continues......
Rapport d'analyse des exploits CVE du noyau Linux et environnement de débogage associé. Vous n'avez plus besoin de compiler le noyau Linux ni de configurer votre environnement.
Ce dépôt a pour but de regrouper tous les exploits du noyau Linux et l'environnement de débogage associé. Vous pouvez utiliser Qemu pour démarrer le noyau et tester l'exploit.
john@john-virtual-machine:~/Desktop/kernel-exploit-factory/CVE-2017-11176$ ./start.sh chmod: /dev/csaw: No such file or directory ifconfig: SIOCSIFADDR: No such device route: SIOCADDRT: No such device / $ uname -a Linux (none) 4.11.9 #1 SMP Sat Feb 20 21:52:39 CST 2021 x86_64 GNU/Linux / $ id uid=1000(chal) gid=1000(chal) groups=1000(chal) / $ cd exp /exp $ ./exp-slab-4119 [] sk_rmem_alloc > sk_rcvbuf ==> ok [] mq_notify start [*] wake up thread 1 ... ... /exp # id uid=0(root) gid=0(root) /exp #
---
## Catalogue
1. CVE-2015-8550
2. CVE-2016-9793
3. 4-20-BPF-integer
4. CVE-2017-5123
5. CVE-2017-6074
6. CVE-2017-7308
7. CVE-2017-8890
8. CVE-2017-11176
9. CVE-2017-16995
10. CVE-2017-1000112
11. CVE-2018-5333
12. CVE-2019-9213 & CVE-2019-8956
13. CVE-2019-15666
14. CVE-2020-8835
15. CVE-2020-27194
16. CVE-2021-3156
17. CVE-2021-31440
18. CVE-2021-3490
19. CVE-2021-22555
20. CVE-2021-41073
21. CVE-2021-4154
22. CVE-2021-42008
23. CVE-2021-43267
24. CVE-2022-0185
25. CVE-2022-0847
26. CVE-2022-0995
27. CVE-2022-1015
28. CVE-2022-2588
29. CVE-2022-2602
30. CVE-2022-2639
31. CVE-2022-25636
32. CVE-2022-27666
33. CVE-2022-32250
34. CVE-2022-34918
35. CVE-2023-2598
36. CVE-2024-1086
37. CVE-2025-21702
38. CVE-2026-23271
---
## Détail
#### 1. CVE-2015-8550
[writeup](https://blog.csdn.net/panhewu9919/article/details/100891770)
**Version de test** : Linux-4.19.65
**Protection** : KASLR/SMEP activés, SMAP désactivé.
**Vulnérabilité** : **Double-Fetch** causé par une optimisation de compilation de gcc, permettant de détourner directement le flux de contrôle.
#### 2. CVE-2016-9793
[writeup](https://blog.csdn.net/panhewu9919/article/details/120164051)
**Version de test** : Linux-4.8.13
**Protection** : KASLR/SMAP/SMEP désactivés. La structure [skb_shared_info](https://elixir.bootlin.com/linux/v4.8.13/source/include/linux/skbuff.h#L414) falsifiée se trouve dans l'espace utilisateur, elle ne peut donc manifestement pas contourner SMAP.
**Vulnérabilité** : la fonction [sock_setsockopt()](https://elixir.bootlin.com/linux/v4.8.13/source/net/core/sock.c#L658) dans `net/core/sock.c` **gère incorrectement les valeurs négatives**, ce qui rend `sk_sndbuf` et `sk_rcvbuf` négatifs. Lors de l'appel à `write`, `skb->head` et `skb->end` sont définis de manière incorrecte, puis lors de l'appel à `close` pour la libération, un accès à l'espace utilisateur provoque une erreur. Une structure [skb_shared_info](https://elixir.bootlin.com/linux/v4.8.13/source/include/linux/skbuff.h#L414) est falsifiée à l'adresse utilisateur `0xfffffed0`, et le flux de contrôle est détourné via `skb_shared_info->destructor_arg->callback`.
#### 3. 4-20-BPF-integer
[writeup](https://www.cnblogs.com/bsauce/p/11560224.html)
**Version de test** : Linux-4.20.0-rc3
**Protection** : SMEP activé, KASLR/SMAP désactivés.
**Vulnérabilité** : **débordement d'entier** dans `queue_stack_map_alloc()` du module eBPF de Linux, conduisant à un débordement de tas. Le pointeur de table virtuelle est modifié pour détourner le flux de contrôle vers `xchg eax, esp`.
#### 4. CVE-2017-5123
[writeup](https://www.jianshu.com/p/90a040114188)
**Version de test** : Linux 4.14-rc4
**Protection** : SMEP / SMAP activés, KASLR désactivé.
**Vulnérabilité** : l'implémentation de `waitid` dans `/kernel/exit.c`, lors de l'appel à `unsafe_put_user()` pour copier des données du noyau vers une adresse utilisateur, n'appelle pas `access_ok()` pour vérifier la validité de l'adresse utilisateur, ce qui permet en réalité d'écrire vers une adresse de l'espace noyau. **waitid ne vérifie pas la validité de l'adresse utilisateur, ce qui permet une écriture arbitraire à l'adresse nulle**. Il est possible d'exécuter un shellcode à l'adresse 0 ou de corrompre un cred situé dans une plage devinée pour élever les privilèges.
#### 5. CVE-2017-6074
[writeup](https://bsauce.github.io/2021/09/17/CVE-2017-6074/) [reference](https://github.com/xairy/kernel-exploits/tree/master/CVE-2017-6074)
**Version de test** : Linux-4.9.12
**Protection** : SMEP/SMAP activés, kASLR désactivé.
**Vulnérabilité** : dans le protocole DCCP (Datagram Congestion Control Protocol) de la famille de protocoles IPv6 du noyau Linux, la fonction [dccp_rcv_state_process()](https://elixir.bootlin.com/linux/v4.9.12/source/net/dccp/input.c#L574) de `net/dccp/input.c` gère incorrectement la structure de données du paquet `DCCP_PKT_REQUEST` dans l'état `LISTEN`. Lorsque l'utilisateur appelle `setsockopt()` avec l'option `IPV6_RECVPKTINFO`, cela déclenche un **Double-Free de la structure `sk_buff`**. La méthode d'exploitation est similaire à celle de CVE-2016-8655. Première exploitation : heap-spray pour falsifier la structure `po->rx_ring->prb_bdqc->retire_blk_timer` et exécuter `native_write_cr4(0x406e0)` afin de désactiver SMEP/SMAP ; deuxième exploitation : heap-spray pour falsifier la structure `skb-> ... ->destructor_arg` et exécuter `commit_creds(prepare_kernel_cred(0))` pour élever les privilèges.
#### 6. CVE-2017-7308
[writeup](https://www.jianshu.com/p/b53862cd64a6) [reference](https://github.com/xairy/kernel-exploits/tree/master/CVE-2017-7308)
**Version de test** : Linux-4.10.6
**Protection** : SMEP / SMAP activés, KASLR désactivé.
**Vulnérabilité** : la fonction [`packet_set_ring()`](https://elixir.bootlin.com/linux/v4.10.6/source/net/packet/af_packet.c#L4181) de `net/packet/af_packet.c` ne vérifie pas correctement la taille des blocs, la condition de contrôle de longueur est erronée, ce qui conduit à un **débordement de tas** nécessitant le privilège `CAP_NET_RAW`. Deux détournements de pointeur de fonction sont effectués : d'abord désactivation des protections SMEP/SMAP, puis élévation de privilèges.
#### 7. CVE-2017-8890
[writeup](https://www.jianshu.com/p/699de662f567) [reference](https://xz.aliyun.com/t/2383)
**Version de test** : Linux-4.10.15
**Protection** : SMEP activé, kASLR et SMAP désactivés.
**Vulnérabilité** : la fonction [`inet_csk_clone_lock()`](https://elixir.bootlin.com/linux/v4.10.15/source/net/ipv4/inet_connection_sock.c#L652) du fichier `net/ipv4/inet_connection_sock.c` présente une vulnérabilité de **Double-Free**. L'exploitation du Double-Free permet de falsifier le pointeur de fonction du callback RCU, de désactiver SMEP et de sauter vers un shellcode pour modifier le cred.
#### 8. CVE-2017-11176
[writeup](https://www.jianshu.com/p/76041ec5c59f)
**Version de test** : Linux-4.11.9
**Protection** : SMEP activé, kASLR et SMAP désactivés.
**Vulnérabilité** : dans l'implémentation des files de messages POSIX du noyau Linux, la fonction `mq_notify()` ne met pas le pointeur sock à null, ce qui provoque une UAF. Il s'agit en réalité d'une **Double-Free causée par une course**, mais la fenêtre de la course peut être prolongée indéfiniment.
#### 9. CVE-2017-16995
[writeup](https://www.cnblogs.com/bsauce/p/11583310.html)
**Version de test** : Linux-4.4.110
**Protection** : SMEP/SMAP/kaslr activés.