Kit de LPE Linux

Kit d'escalade de privilèges multi-architecture avec 24 exploits (amd64 pré-compilé ; autres architectures compilées via gcc à l'exécution). Prend en charge amd64, arm64, 386, mips, mipsle, mips64, et mips64le. Détecte la version du noyau, filtre les exploits corrigés, et essaie chacun dans l'ordre jusqu'à l'obtention du root.

Quick Start

# run directly (no gcc needed on target if pre-compiled binaries are embedded)
./lpe-toolkit

# dry-run: show exploit plan without executing
./lpe-toolkit --dry-run

# skip specific exploits
./lpe-toolkit --skip "dirtyfrag,dirtypipe"

# execute a command once root is achieved and show its output
./lpe-toolkit -c "id"

# silent automation: suppress all output except the command result
./lpe-toolkit -q -c "whoami"

# verbose output (includes exploit stdout/stderr)
./lpe-toolkit -v

Usage

Note : -v et -q sont mutuellement exclusifs — le kit se termine par une erreur si les deux sont spécifiés.

Exploits

Compilation à partir des sources

# native build (pre-compile C exploits then embed in Go binary)
make

# cross-compile for all architectures (native arch's C exploits only)
make build-all

# run directly from source (compile exploits on target at runtime)
make run-source

# clean build artifacts
make clean

Prérequis : Go 1.21+, gcc, et cross-compilateurs pour les architectures cibles :

• arm64 : aarch64-linux-gnu-gcc
• 386 : i686-linux-gnu-gcc
• mips : mips-linux-gnu-gcc
• mipsle : mipsel-linux-gnu-gcc
• mips64 : mips64-linux-gnuabi64-gcc
• mips64le : mips64el-linux-gnuabi64-gcc

Empaquetage binaire pré-compilé

Le drapeau --just-build résout tous les exploits utilisables et imprime leurs chemins. Utilisez-le pour vérifier ce qui sera disponible à l'exécution.

L'archive binaire pré-compilée pour chaque version inclut un binaire Go lié statiquement avec des exploits C intégrés. Tous les exploits sont pré-compilés pour toutes les architectures.

Architecture

• toolkit.go : Définitions d'exploits principales, analyse de version du noyau, résolution binaire, gestionnaire d'abus sudo GTFOBins, execCommandAsRoot() pour l'exécution de commande non interactive, aides de verbosité msg()/say()
• main.go : Point d'entrée CLI avec drapeaux (-c, -q, -v, --skip, --dry-run, --just-build) et gestion des signaux
• build-exploits.sh : Script de cross-compilation pour les exploits C
• exploits/ : Fichiers sources C et binaires pré-compilés intégrés via

Changements notables

• cve_2026_41651.c : Ajout de Pack2TheRoot — client D-Bus brut (pas de libdbus) race les drapeaux SIMULATE/NONE de PackageKit InstallFiles pour déclencher l'exécution postinst privilégiée root, dépose un bash setuid-root à /var/tmp/.suid_bash
• parseKernelVersion corrigé : ajout de parseIntPrefix pour gérer les suffixes -rcN lors de la comparaison des versions du noyau
• bad_epoll.c réécrit avec l'architecture correcte J-jaeyoung : deux paires epoll, élargissement IRQ timerfd via 3000+ waiters, oracle de profondeur 3, atomiques acquire/release sur variables partagées
• Tous les exploits (y compris ceux de fuite/PoC uniquement) lancent maintenant un shell root ou exécutent la commande demandée
• cve_2026_46333.c : Ajout de try_passwd_root() — vole le fd inscriptible de /etc/shadow depuis passwd, écrit un hash de mot de passe connu, puis lance su - ; se rabat sur les méthodes de fuite uniquement
• cve_2025_38352.c : Ajout d'un écrasement splice() style dirtypipe de → → lance

Nouveaux exploits ajoutés

• peditcow.c (CVE-2026-46331) : La primitive d'écriture page-cache tc-pedit écrase l'entrée ELF de su avec un shellcode. v5.18–v7.1-rc6. Un utilisateur non privilégié + espace de noms net donne CAP_NET_ADMIN.
• dirtyclone.c (CVE-2026-43503) : Portage en C de DirtyClone depuis Python. La cible netfilter TEE ESP-in-UDP corrompt /etc/passwd. Implémentation autonome AES-128-CBC. v7.1-rc1–rc4.
• bad_epoll.c (CVE-2026-46242) : UAF race epoll close-vs-close. Spécifique à la cible : les offsets par défaut ciblent lts-6.12.67 (kernelCTF). Personnalisez les définitions OFF_* et PIVOT* pour votre noyau. Nécessite /proc/kallsyms (kptr_restrict=0). Exécutez sur un noyau non corrigé — le correctif (commit a6dc643c6931, ajoute ep_clear_and_put) a été rétroporté à de nombreuses distributions, y compris le noyau 6.8 HWE d'Ubuntu 22.04.
• cve_2026_31694.c (CVE-2026-31694) : Écriture OOB dans le cache readdir FUSE. Déborde de 24 octets dans la page page-cache adjacente pour rendre /etc/passwd root sans mot de passe. v6.15+. Nécessite fusermount3.