SLEY — Preuve de concept PinTheft (CVE-2026-43494)

Preuve de concept — uid=1000(raken) → uid=0(root) après ./sley sur WSL2 (6.6.87.2-microsoft-standard-WSL2)

Preuve de concept en un seul fichier pour CVE-2026-43494 (PinTheft) : une escalade de privilèges locale du noyau Linux qui enchaîne un bug de comptage de références RDS zerocopy avec des tampons fixes io_uring pour écraser le cache de pages d'un binaire SUID-root.

Avertissement : Ce dépôt est destiné exclusivement à la recherche en sécurité autorisée, à l'éducation et aux tests défensifs. Exécuter ceci contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite de test est illégal et contraire à l'éthique. Les auteurs déclinent toute responsabilité en cas d'utilisation abusive.

Aperçu

Les recherches publiques originales et le PoC ont été publiés par l'équipe V12 Security (Aaron Esau). SLEY est une réimplémentation indépendante et compacte avec une interface terminal stylisée pour une utilisation en laboratoire et pour l'apprentissage.

Fonctionnement

flowchart LR
    A[mmap anonymous page] --> B[io_uring: register fixed buffer]
    B --> C[Clone buffer table to 2nd ring]
    C --> D[1024× failing RDS zerocopy sends]
    D --> E[Drain FOLL_PIN bias / steal refs]
    E --> F[munmap → page freed]
    F --> G[SUID binary page reclaimed in page cache]
    G --> H[Stale io_uring ptr writes ELF stub]
    H --> I[exec SUID → root shell]

1. Reconnaissance — Épingler au CPU 0, localiser un binaire SUID lisible (su, mount, passwd, …).
2. Configuration io_uring — Enregistrer la page anonyme comme tampon fixe (biais FOLL_PIN ≈ 1024).
3. Vol de pin — Inonder de tentatives d'envoi RDS zerocopy échouées ; chaque échec peut supprimer une référence supplémentaire sur la première page épinglée.
4. Réclamation et écrasement — Un munmap libère la page ; la réouverture de la cible SUID entre en compétition avec la réclamation du cache de pages ; les métadonnées obsolètes des tampons fixes permettent d'écrire un petit stub ELF x86_64 dans le cache.
5. Élévation de privilèges — L'execve du binaire SUID exécute le stub injecté en tant que root.

Prérequis

Noyau / configuration

• Noyau Linux vulnérable (non corrigé) avec le bug RDS présent
• CONFIG_RDS=y et CONFIG_RDS_TCP=y
• CONFIG_IO_URING=y et kernel.io_uring_disabled = 0
• Modules rds / rds_tcp chargés (ou chargeables automatiquement par des utilisateurs non privilégiés)
• Noyau ≥ 6.13 pour l'API IORING_REGISTER_CLONE_BUFFERS utilisée par la chaîne publique
• x86_64 pour la charge utile ELF shell intégrée dans ce PoC

Outils de compilation

sudo apt install build-essential linux-libc-dev   # Debian/Ubuntu
# or equivalent headers package on your distro

Permissions

• Un utilisateur local non privilégié est suffisant sur un hôte vulnérable (c'est le modèle de menace)
• Ne pas exécuter sur des systèmes de production

Vérifier l'exposition (lecture seule)

# Patched? (example — adjust for your distro)
uname -r
grep -r CVE-2026-43494 /usr/share/doc/linux* 2>/dev/null || true

# RDS available?
grep CONFIG_RDS /boot/config-$(uname -r) 2>/dev/null
lsmod | grep -E '^rds'

# io_uring enabled?
cat /proc/sys/kernel/io_uring_disabled  # expect 0

Compilation

gcc -O2 -Wall -Wextra -o sley sley.c

Liaison statique (optionnelle, pour des images de laboratoire minimales) :

gcc -O2 -static -o sley sley.c

Utilisation

./sley

Toute la sortie d'état va vers stderr (interface ANSI 256 couleurs, barre de progression, journalisation par phases). Assurez-vous que votre terminal prend en charge UTF-8 et les couleurs truecolor/256 pour l'interface à caractères de dessin.

Exemples de phases :

PHASE 1 │ Reconnaissance
PHASE 2 │ Memory & io_uring setup
PHASE 3 │ Pin reference theft (RDS zerocopy)
PHASE 4 │ Page cache overwrite & privesc

Résultat attendu (hôte vulnérable)

Sur une configuration exploitée avec succès, la chaîne se termine et passe la main au binaire SUID découvert avec une première page écrasée — donnant un shell root si la compétition et l'état du noyau s'alignent.

Sur des noyaux corrigés, des hôtes durcis, ou en l'absence de RDS/io_uring, le PoC échouera tôt (pas de cible SUID, erreurs mmap/io_uring/socket, etc.).

Atténuation

Les avis de sécurité spécifiques aux distributions peuvent inclure des correctifs rétroportés — suivez la file d'attente de sécurité du noyau de votre fournisseur.

Structure du projet

.
├── README.md              # This file
├── proof-of-concept.jpg   # Screenshot: successful LPE (uid 1000 → root)
├── sley.c                 # Single-file PoC + terminal UI
└── .gitignore

Références

• NVD — CVE-2026-43494
• oss-security — PinTheft discussion
• Kernel fix commit

Légal

Ce logiciel est fourni en l'état pour la recherche et l'éducation. Vous êtes responsable du respect des lois applicables et de l'obtention d'une autorisation écrite avant de tester tout système que vous ne possédez pas.

Licence

MIT — voir le fichier de licence du dépôt s'il est ajouté. Utilisez de manière responsable.