PPPoEject (CVE-2026-68121)

Writeup

[!WARNING] यह PoC केवल रक्षकों, मेंटेनरों और अधिकृत सुरक्षा टीमों को उन सिस्टमों पर पैच, शमन, डिटेक्शन और एक्सपोज़र को सत्यापित करने में मदद करने के लिए प्रदान किया गया है जिनके वे मालिक हैं या जिनका परीक्षण करने के लिए उन्हें स्पष्ट रूप से अधिकृत किया गया है।

यह सुनिश्चित करना पूरी तरह से आपकी ज़िम्मेदारी है कि इस सामग्री का आपका उपयोग कानूनी, अधिकृत, नियंत्रित और एक पृथक परीक्षण वातावरण में किया जाए।

[!WARNING] यह PoC विनाशकारी है। यह जानबूझकर लाइव कर्नेल मेमोरी को दूषित करता है। एक गलत जगह पर ओवरराइट असंबंधित कर्नेल मेमोरी को दूषित कर सकता है और मशीन को हैंग/क्रैश कर सकता है।

केवल एक डिस्पोज़ेबल VM/थ्रोअवे होस्ट में चलाएँ।

यह PoC:

1. एम्बेडेड हेल्पर्स को कंपाइल करता है और एक x86-64 prefetch/RDTSCP टाइमिंग साइड चैनल के साथ रैंडमाइज़्ड कर्नेल टेक्स्ट बेस का पता लगाता है
2. नकली struct file ऑब्जेक्ट्स वाला एक AF_PACKET TX-ring कैरियर बनाता है और लक्ष्य एलोकेशन में एक भरी हुई fdtable को groom करता है
3. हमलावर के स्वामित्व वाले FUSE पेज पर एक PPPoE पेलोड कॉपी को रोकता है, फिर Fedora पर एक खाली team डिवाइस में या Ubuntu पर एक bonding चेन के माध्यम से IP6GRE जोड़ता है
4. dev_hard_header() को skb हेड को फिर से एलोकेट करवाता है, फिर स्टेल PPPoE हेडर पॉइंटर का उपयोग करके एक fdtable एंट्री को नकली फ़ाइल पर रीडायरेक्ट करता है, और
5. रीडायरेक्ट किए गए डिस्क्रिप्टर को बंद करता है, नियंत्रित कॉलबैक को निष्पादित करता है, रूट क्रेडेंशियल्स इंस्टॉल करता है, और /bin/sh -p खोलता है।

यह PoC चीज़ों को सरल रखने के लिए x86-64 को मानता है और लक्षित करता है। सिद्धांत रूप में, यह बग आर्क-विशिष्ट नहीं होना चाहिए, लेकिन आपको बहुत कुछ पोर्ट करना होगा (कर्नेल बेस लीक करने से लेकर बाकी चेन तक)।

आवश्यकताएँ

पूर्णता के लिए विस्तृत रूप से सूचीबद्ध:

• कम से कम 4 उपलब्ध CPUs (PPPoE सेंडर, fdtable रिक्लेमर/कैरियर, FUSE ब्लॉकर, और ट्रिगर/रिलीज़ ऑर्केस्ट्रेटर वर्कर्स के लिए महत्वपूर्ण है ताकि वे कम शेड्यूलर हस्तक्षेप के साथ टाइमिंग-क्रिटिकल काम कर सकें)
• Fedora 44 with 6.19.10-300.fc44.x86_64, या Ubuntu 24.04 with 6.8.0-124-generic या 6.8.0-136-generic (आप इन चेक्स को हटाने का प्रयास कर सकते हैं, लेकिन अन्य डिस्ट्रोज़/कर्नेल वर्शन के लिए प्रति-लक्ष्य कस्टमाइज़ेशन/grooming की आवश्यकता हो सकती है)
• एक सामान्य गैर-रूट अकाउंट जिसमें passwd एंट्री और उसके स्वामित्व वाली होम डायरेक्टरी हो
• एक Intel या AMD x86-64 CPU जिसमें RDTSCP हो, KPTI/PTI निष्क्रिय हो, और प्रोसेस अफ़िनिटी मास्क में कम से कम चार लॉजिकल CPUs हों
• उस नेमस्पेस के अंदर CAP_NET_ADMIN और CAP_NET_RAW के साथ अनप्रिविलेज्ड user/network namespace निर्माण
• /dev/fuse तक पढ़ने/लिखने की पहुँच, साथ ही Fedora पर FUSE, PPPoE, IP6GRE, AF_PACKET/TX-ring, और team सपोर्ट या Ubuntu पर bonding सपोर्ट
• चयनित लो-ऑर्डर लेआउट के लिए प्राइवेट एक्सपेडाइटेड membarrier
• चयनित हाई-ऑर्डर लेआउट के लिए Dummy और 802.1Q VLAN डिवाइस
• चयनित कैरियर ज्यामिति के लिए पर्याप्त बड़ी RLIMIT_NOFILE हार्ड लिमिट, रनटाइम पर जाँची जाती है और संभवतः 8,192 डिस्क्रिप्टर तक की आवश्यकता हो सकती है
• विविध यूज़रस्पेस चीज़ें (जो दायरे में परीक्षित डिस्ट्रोज़ में अधिकतर डिफ़ॉल्ट रूप से होनी चाहिए): Python 3.10+, libc और Linux UAPI डेवलपमेंट हेडर्स के साथ , , , , , और , साथ ही Ubuntu पर और लोडेड प्रोफ़ाइल यदि सीधा अस्वीकार कर दिया जाए

केवल 4GB RAM और विभिन्न 4+ CPU काउंट्स के साथ परीक्षण किया गया। अन्य CPU/मेमोरी संयोजनों को अधिक grooming की आवश्यकता हो सकती है और/या राइट को असंबंधित मेमोरी में रीडायरेक्ट कर सकते हैं।

इसे passwd एंट्री वाले एक अनप्रिविलेज्ड यूज़र के रूप में चलाएँ। Ubuntu रूपांतरण में कुछ समय लग सकता है (उदा., 300+ प्रयास)।

उपयोग

python3 pppoeject_root_repro.py