SLEY — PinTheft PoC (CVE-2026-43494)

Preuve de concept — uid=1000(raken) → uid=0(root) après ./sley sur WSL2 (6.6.87.2-microsoft-standard-WSL2)

Fichier unique de preuve de concept pour CVE-2026-43494 (PinTheft) : une escalade de privilèges locale du noyau Linux qui enchaîne un bug de comptage de références RDS zerocopy avec des tampons fixes io_uring pour écraser le cache de pages d'un binaire SUID root.

Avertissement : Ce dépôt est destiné uniquement à la recherche en sécurité autorisée, l'éducation et les tests défensifs. L'exécuter sur des systèmes que vous ne possédez pas ou sans autorisation explicite est illégal et contraire à l'éthique. Les auteurs déclinent toute responsabilité en cas d'utilisation abusive.

Aperçu

Les recherches publiques originales et le PoC ont été publiés par l'équipe V12 Security (Aaron Esau). SLEY est une réimplémentation indépendante et compacte avec une interface terminal stylisée pour une utilisation en laboratoire et l'apprentissage.

Fonctionnement

flowchart LR
    A[mmap anonymous page] --> B[io_uring: register fixed buffer]
    B --> C[Clone buffer table to 2nd ring]
    C --> D[1024× failing RDS zerocopy sends]
    D --> E[Drain FOLL_PIN bias / steal refs]
    E --> F[munmap → page freed]
    F --> G[SUID binary page reclaimed in page cache]
    G --> H[Stale io_uring ptr writes ELF stub]
    H --> I[exec SUID → root shell]

1. Reconnaissance — Épingler au CPU 0, localiser un binaire SUID lisible (su, mount, passwd, …).
2. Configuration io_uring — Enregistrer la page anonyme comme tampon fixe (biais FOLL_PIN ≈ 1024).
3. Vol d'épinglage — Inonder de zerocopy RDS échoués ; chaque échec peut supprimer une référence supplémentaire sur la première page épinglée.
4. Récupération et écrasement — Unmap libère la page ; la réouverture de la cible SUID entre en compétition avec la récupération du cache de pages ; les métadonnées obsolètes du tampon fixe permettent d'écrire un minuscule stub ELF x86_64 dans le cache.
5. Escalade de privilèges — execve du binaire SUID exécute le stub injecté en tant que root.

Prérequis

Noyau / configuration

• Noyau Linux vulnérable (non patché) avec le bug RDS présent
• CONFIG_RDS=y et CONFIG_RDS_TCP=y
• CONFIG_IO_URING=y et kernel.io_uring_disabled = 0
• Modules rds / rds_tcp chargés (ou chargeables automatiquement par des utilisateurs non privilégiés)
• Noyau ≥ 6.13 pour l'API IORING_REGISTER_CLONE_BUFFERS utilisée par la chaîne publique
• x86_64 pour la charge utile ELF shell intégrée dans ce PoC

Outils de compilation

sudo apt install build-essential linux-libc-dev   # Debian/Ubuntu
# or equivalent headers package on your distro

Permissions

• Un utilisateur local non privilégié suffit sur un hôte vulnérable (c'est le modèle de menace)
• Ne pas exécuter sur des systèmes de production

Vérifier l'exposition (lecture seule)

# Patched? (example — adjust for your distro)
uname -r
grep -r CVE-2026-43494 /usr/share/doc/linux* 2>/dev/null || true

# RDS available?
grep CONFIG_RDS /boot/config-$(uname -r) 2>/dev/null
lsmod | grep -E '^rds'

# io_uring enabled?
cat /proc/sys/kernel/io_uring_disabled  # expect 0

Compilation

gcc -O2 -Wall -Wextra -o sley sley.c

Liaison statique (optionnel, pour des images de laboratoire minimales) :

gcc -O2 -static -o sley sley.c

Utilisation

./sley

Toute la sortie de statut va vers stderr (interface ANSI 256 couleurs, barre de progression, journalisation par phases). Assurez-vous que votre terminal supporte UTF-8 et truecolor/256 couleurs pour l'interface graphique en boîte.

Exemples de phases :

PHASE 1 │ Reconnaissance
PHASE 2 │ Configuration mémoire & io_uring
PHASE 3 │ Vol de référence d'épinglage (zerocopy RDS)
PHASE 4 │ Écrasement du cache de pages & escalade

Résultat attendu (hôte vulnérable)

Sur une configuration exploitée avec succès, la chaîne se termine et cède la main au binaire SUID découvert avec une première page écrasée — donnant un shell root si la condition de concurrence et l'état du noyau s'alignent.

Sur des noyaux patchés, des hôtes durcis, ou en l'absence de RDS/io_uring, le PoC échouera tôt (pas de cible SUID, erreurs mmap/io_uring/socket, etc.).

Atténuation

Les avis de sécurité spécifiques aux distributions peuvent fournir des correctifs rétroportés — suivez la file d'attente de sécurité du noyau de votre fournisseur.

Structure du projet

.
├── README.md              # Ce fichier
├── proof-of-concept.jpg   # Capture d'écran : LPE réussi (uid 1000 → root)
├── sley.c                 # PoC fichier unique + interface terminal
└── .gitignore

Références

• NVD — CVE-2026-43494
• oss-security — Discussion PinTheft
• Commit de correction du noyau

Mentions légales

Ce logiciel est fourni en l'état pour la recherche et l'éducation. Vous êtes responsable du respect des lois applicables et de l'obtention d'une autorisation écrite avant de tester tout système que vous ne possédez pas.

Licence

MIT — voir le fichier de licence du dépôt si ajouté. Utilisez de manière responsable.