CVE-2026-53365 — VsockDrop : sous-dépassement du compteur de références zéro-copie io_uring + AF_VSOCK, élévation de privilèges par réécriture du Page-Cache

Miroir de distribution HackSpeak. Ce dépôt est un miroir de distribution de MaherAzzouzi/vsockdrop, le code est identique à celui de l'amont ; l'amont ne fournit pas de LICENSE, le miroir adopte donc par convention de distribution la licence MIT, Copyright (c) 2026 HackSpeak, le code source appartenant à l'auteur d'origine MaherAzzouzi.

⚠️ Contient un exploit complet d'élévation de privilèges locale (LPE) — il modifie le page-cache de /usr/bin/su (peut persister sur disque sur les systèmes de fichiers CoW) ; réservé à la recherche en sécurité, à la validation de vulnérabilités et aux tests autorisés, à exécuter uniquement dans un environnement isolé que vous possédez ou pour lequel vous disposez d'une autorisation explicite, ne pas utiliser contre des systèmes non autorisés.

Résumé de la vulnérabilité

VsockDrop (CVE-2026-53365) est une vulnérabilité de gestion incorrecte du compteur de références dans le chemin d'envoi zéro-copie io_uring (AF_VSOCK) du noyau Linux, pouvant conduire à une élévation de privilèges locale (LPE) sans privilège.

• Cause racine : lors de l'envoi multi-skb vsock, io_uring utilise SKBFL_MANAGED_FRAG_REFS mais le chemin vsock ne respecte pas cet indicateur → __skb_frag_unref() appelle put_page() sur une page gérée → un put_page supplémentaire à chaque envoi, décrémentant directement le compteur de pin ;
• Chaîne d'exploitation :
  1. Sous-dépassement du compteur de références : via 1024 SEND_ZC, le refcount = 1 + 1024 est épuisé jusqu'à 0 → la page toujours épinglée est libérée dans la freelist PCP ;
  2. Réclamation du page-cache : un unique pread à froid de la page 0 de /usr/bin/su récupère le PFN tout juste libéré depuis la freelist LIFO → cette page est alors aliasée entre le fixed buffer io_uring et le page-cache de su ;
  3. Réécriture de PT_INTERP : avec write_fixed/read_fixed, la chaîne PT_INTERP dans la page de su est remplacée par le chemin du loader de l'attaquant ;
  4. Élévation de privilèges data-only : exec("/usr/bin/su") (setuid-root) → le noyau mappe le loader de l'attaquant comme interpréteur → accès avec les identifiants root → shell root.
• Versions affectées : Linux 6.7 → 7.0.10 ; corrigé en 7.0.11 et dans les branches stables correspondantes ;
• Conditions d'exploitation : aucun user namespace requis, un seul binaire statique ;
• CVSS : score NVD de 5.5 (impact sur la disponibilité), mais l'auteur estime qu'il devrait être de 7.8 (LPE).

Utilisation

make
./exploit

⚠️ Opération dangereuse : l'exploit modifie le contenu de /usr/bin/su dans le page-cache ; sur les systèmes de fichiers CoW (comme Btrfs, ZFS), cette modification peut persister sur le disque. À exécuter uniquement dans un environnement isolé jetable.

Avis de non-responsabilité

• À utiliser uniquement pour la recherche en sécurité, la validation de vulnérabilités et les tests défensifs ; à exécuter dans un environnement jetable, ne pas utiliser contre des systèmes non autorisés.
• Cet exploit relève de la recherche défensive et a été divulgué de manière responsable à [email protected] ; avant toute utilisation, assurez-vous que le système cible vous appartient ou que vous disposez d'une autorisation explicite.

Liens de référence

• Dépôt source en amont (origine de cet exploit) : https://github.com/MaherAzzouzi/vsockdrop
• NVD : CVE-2026-53365
• Exemples de correctifs en amont :
  • https://git.kernel.org/stable/c/ae38d9179190a956e2a87a69ef1dd6f451b51c4d
  • https://git.kernel.org/stable/c/76b995bc57bd90cb6e954e1966fbd8786da47f0d
  • https://git.kernel.org/stable/c/b3155f2b78db21e99256bcf7eb902f24ff6d5338
• Bulletin de sécurité Ubuntu : https://ubuntu.com/security/CVE-2026-53365
• Démonstration de l'auteur : https://x.com/maherazz2/status/2088233024424919395