CVE-2026-53365 — VsockDrop:io_uring + AF_VSOCK ज़ीरो-कॉपी रेफ़रेंस काउंट अंडरफ़्लो, Page-Cache पुनर्लेखन प्रिविलेज एस्केलेशन

HackSpeak वितरण मिरर। यह रिपॉजिटरी MaherAzzouzi/vsockdrop का वितरण मिरर है, कोड अपस्ट्रीम के अनुरूप है; अपस्ट्रीम में LICENSE संलग्न नहीं है, इसलिए मिरर वितरण परंपरा के अनुसार MIT License,Copyright (c) 2026 HackSpeak का उपयोग करता है, स्रोत कोड का कॉपीराइट मूल लेखक MaherAzzouzi के पास है।

⚠️ पूर्ण लोकल प्रिविलेज एस्केलेशन (LPE) exploit शामिल है — यह /usr/bin/su के page-cache को संशोधित करेगा (CoW फ़ाइल सिस्टम पर यह डिस्क पर स्थायी हो सकता है); केवल सुरक्षा अनुसंधान, भेद्यता सत्यापन और अधिकृत परीक्षण के लिए, केवल अपने स्वामित्व वाले या स्पष्ट रूप से अधिकृत अलग-थलग वातावरण में चलाएँ, अनधिकृत सिस्टम पर उपयोग न करें।

भेद्यता सारांश

VsockDrop(CVE-2026-53365) Linux कर्नेल की io_uring ज़ीरो-कॉपी सेंड पथ (AF_VSOCK) में रेफ़रेंस काउंट के अनुचित प्रबंधन की भेद्यता है, जो अनप्रिविलेज्ड लोकल प्रिविलेज एस्केलेशन (LPE) का कारण बन सकती है।

• मूल कारण: जब vsock एकाधिक skb भेजता है, io_uring SKBFL_MANAGED_FRAG_REFS का उपयोग करता है, लेकिन vsock पथ इस फ्लैग का पालन नहीं करता → __skb_frag_unref() managed page पर put_page() कॉल करता है → प्रत्येक सेंड पर एक अतिरिक्त put_page, सीधे pin काउंट घटाता है;
• शोषण श्रृंखला:
  1. रेफ़रेंस काउंट अंडरफ़्लो: 1024 बार SEND_ZC के माध्यम से, refcount = 1 + 1024 को घटाकर 0 कर दें → फिर भी pinned page को PCP freelist में मुक्त कर दिया जाता है;
  2. Page-Cache पुनर्प्राप्ति: एक बार cold pread /usr/bin/su का page 0 पढ़ने पर, LIFO freelist से अभी मुक्त किया गया PFN वापस प्राप्त होता है → वह page एक साथ io_uring fixed buffer और su page-cache के साथ alias हो जाता है;
  3. PT_INTERP पुनर्लेखन: write_fixed/read_fixed का उपयोग करके su page में PT_INTERP स्ट्रिंग को हमलावर के loader पथ में बदलें;
  4. डेटा-ओनली प्रिविलेज एस्केलेशन: exec("/usr/bin/su") (setuid-root) → कर्नेल हमलावर के loader को इंटरप्रेटर के रूप में मैप करता है → root क्रेडेंशियल के साथ प्रवेश → root shell।
• प्रभावित संस्करण: Linux 6.7 → 7.0.10; पैच: 7.0.11 तथा संबंधित स्थिर शाखाएँ;
• शोषण की शर्तें: user namespaces की आवश्यकता नहीं, एकल स्थिर बाइनरी;
• CVSS: NVD स्कोर 5.5 (उपलब्धता प्रभाव), लेकिन लेखक का मानना है कि इसे 7.8 (LPE) होना चाहिए।

उपयोग

make
./exploit

⚠️ खतरनाक कार्य: exploit /usr/bin/su के page-cache में मौजूद सामग्री को संशोधित करेगा; CoW फ़ाइल सिस्टम (जैसे Btrfs, ZFS) पर यह संशोधन डिस्क पर स्थायी हो सकता है। केवल नष्ट किए जा सकने वाले अलग-थलग वातावरण में चलाएँ।

अस्वीकरण

• केवल सुरक्षा अनुसंधान, भेद्यता सत्यापन और रक्षात्मक परीक्षण के लिए; कृपया नष्ट करने योग्य वातावरण में चलाएँ, अनधिकृत सिस्टम पर उपयोग न करें।
• यह exploit रक्षात्मक अनुसंधान के लिए है, और [email protected] को जिम्मेदारीपूर्वक प्रकट किया गया है; उपयोग से पहले सुनिश्चित करें कि लक्ष्य सिस्टम आपके स्वामित्व में है या आपके पास स्पष्ट अधिकार है।

संदर्भ लिंक

• अपस्ट्रीम स्रोत रिपॉजिटरी (इस exploit का स्रोत): https://github.com/MaherAzzouzi/vsockdrop
• NVD: CVE-2026-53365
• अपस्ट्रीम पैच उदाहरण:
  • https://git.kernel.org/stable/c/ae38d9179190a956e2a87a69ef1dd6f451b51c4d
  • https://git.kernel.org/stable/c/76b995bc57bd90cb6e954e1966fbd8786da47f0d
  • https://git.kernel.org/stable/c/b3155f2b78db21e99256bcf7eb902f24ff6d5338
• Ubuntu सुरक्षा बुलेटिन: https://ubuntu.com/security/CVE-2026-53365
• लेखक का डेमो: https://x.com/maherazz2/status/2088233024424919395