CVE-2025-40271 — proc_readdir_de() rb-tree UAF LPE

लिनक्स कर्नेल proc फ़ाइलसिस्टम में स्थानीय विशेषाधिकार वृद्धि (LPE) भेद्यता का प्रूफ-ऑफ-कॉन्सेप्ट। यह बग proc_readdir_de() में rb_erase() के बिना RB_CLEAR_NODE() के उपयोग के कारण यूज़-आफ्टर-फ्री है, जिससे पुराने रेड-ब्लैक ट्री लिंक रह जाते हैं जिन्हें निर्देशिका गणना के दौरान रेस किया जा सकता है।

लेखक: MadExploits

मूल भेद्यता अनुसंधान और C PoC अविरल श्रीवास्तव (N-DAY RESEARCH) द्वारा। इस रिपॉजिटरी में एक शेल पोर्ट (exploit.sh) शामिल है, जो उन वातावरणों के लिए है जहां संकलन व्यावहारिक नहीं है।

अवलोकन

मूल कारण

जब एक proc निर्देशिका प्रविष्टि हटाई जाती है, तो प्रविष्टि के rb-नोड पर rb_erase() को बिना RB_CLEAR_NODE() के बुलाया जाता है। मुक्त नोड पुराने ट्री लिंक के माध्यम से पहुंच योग्य रह सकते हैं। यदि getdents64() /proc/self/net/dev_snmp6/ के अंतर्गत इंटरफ़ेस हटाने के साथ रेस करता है, तो कर्नेल मुक्त मेमोरी पढ़ सकता है — जिसे अक्सर स्प्रे किए गए msg_msg ऑब्जेक्ट्स द्वारा पुनः दावा किया जाता है — और असामान्य d_ino मान लौटाता है जो कर्नेल हीप पॉइंटर्स को लीक करते हैं।

प्रभावित और पैच किए गए कर्नेल

PoC चल रहे कर्नेल संस्करण की जाँच करता है और पैच किए गए बिल्ड पर बाहर निकलता है:

रिपॉजिटरी सामग्री

दोनों कार्यान्वयन समान शोषण प्रवाह का पालन करते हैं:

1. उपयोगकर्ता + नेटवर्क नेमस्पेस दर्ज करें (नेट ns में CAP_NET_ADMIN प्राप्त करें)
2. veth जोड़े बनाएँ → /proc/self/net/dev_snmp6/ आबाद करें
3. तेज़ veth विलोपन + हीप स्प्रे के विरुद्ध getdents64() को रेस करें
4. कर्नेल-पॉइंटर जैसे d_ino मानों के माध्यम से UAF का पता लगाएँ
5. एस्केलेशन का प्रयास करें (पूर्ण LPE के लिए कर्नेल-विशिष्ट KASLR ऑफ़सेट आवश्यक हैं)

आवश्यकताएँ

सामान्य

• Linux x86_64
• अनप्रिविलेज्ड यूज़र नेमस्पेस सक्षम:
  root@kitploit:~

  cat /proc/sys/kernel/unprivileged_userns_clone
  # must be 1
  

• गैर-रूट उपयोगकर्ता (PoC पहले से रूट होने पर बाहर निकलता है)

exploit.c

• gcc pthreads के साथ
• लिनक्स हेडर (linux/netlink.h, आदि)

gcc -o exploit exploit.c -lpthread

exploit.sh

• bash
• python3
• ip (iproute2)
• unshare (util-linux --map-root-user समर्थन के साथ)

कोई संकलक आवश्यक नहीं है।

उपयोग

शेल संस्करण (त्वरित परीक्षण के लिए अनुशंसित)

chmod +x exploit.sh
./exploit.sh

C संस्करण

gcc -o exploit exploit.c -lpthread
./exploit

अपेक्षित आउटपुट

कमजोर कर्नेल — UAF ट्रिगर हुआ (आंशिक सफलता):

[+] Kernel X.Y.Z — VULNERABLE
[+] Namespace ready...
[+] Created 32 veth pairs (/proc/self/net/dev_snmp6 populated)
[+] UAF HIT! d_ino=0xffff8880........ (kernel heap pointer)
[+] Kernel heap leak: 0xffff8880........
[*] PARTIAL SUCCESS: UAF + heap leak DEMONSTRATED

पैच किया गया कर्नेल:

[-] Kernel X.Y.Z — PATCHED
[*] Kernel is patched. Nothing to do.

शोषण नोट्स

• हीप लीक: जब रेस जीती जाती है, d_ino में x86_64 कर्नेल पॉइंटर पैटर्न (0xffff000000000000) से मेल खाने वाला मान होता है, आमतौर पर msg_msg हेडर m_list मुक्त proc_dir_entry डेटा को ओवरलैप करने से।
• पूर्ण LPE: modprobe_path को ओवरराइट करने के लिए लीक किए गए हीप पते और कर्नेल टेक्स्ट बेस के बीच ऑफ़सेट की आवश्यकता होती है — यह बिल्ड-विशिष्ट है (KASLR)। PoC UAF और लीक प्रदर्शित करता है; एक पूर्ण श्रृंखला को आपके लक्ष्य कर्नेल छवि के लिए ऑफ़सेट की आवश्यकता होती है।
• विश्वसनीयता: सफलता शेड्यूलर समय पर निर्भर करती है। PoC डिफ़ॉल्ट रूप से 30 रेस प्रयासों तक पुनः प्रयास करता है।

शमन

• पैच किए गए कर्नेल में अपग्रेड करें (ऊपर तालिका देखें)।
• यदि उपयोगकर्ता नेमस्पेस आवश्यक नहीं हैं, तो अनप्रिविलेज्ड निर्माण अक्षम करें:
  root@kitploit:~

  sysctl -w kernel.unprivileged_userns_clone=0
  

• CVE-2025-40271 के लिए विक्रेता सुरक्षा अपडेट लागू करें।

अस्वीकरण

यह प्रोजेक्ट केवल अधिकृत सुरक्षा अनुसंधान, शिक्षा और रक्षात्मक परीक्षण के लिए प्रदान किया गया है।

• केवल उन प्रणालियों पर चलाएं जिनके आप मालिक हैं या जिनके लिए आपके पास स्पष्ट लिखित अनुमति है।
• तीसरे पक्ष की प्रणालियों के विरुद्ध अनधिकृत उपयोग लागू कानूनों का उल्लंघन कर सकता है।
• लेखक और योगदानकर्ता इस कोड के दुरुपयोग के लिए जिम्मेदार नहीं हैं।

क्रेडिट

लाइसेंस

अपने जोखिम पर उपयोग करें। कोई वारंटी प्रदान नहीं की गई है।