ptrace_may_dream

CVE-2026-46333

ptrace_may_access() mm=NULL रेस कंडीशन के लिए pidfd_getfd(2) में स्थानीय विशेषाधिकार वृद्धि शोषण।

जब कोई प्रक्रिया मर रही होती है और उसका mm पहले ही जारी कर दिया गया होता है, तो कर्नेल पूरी तरह से ptrace एक्सेस जांच को छोड़ देता है। प्रक्रिया निकास के विरुद्ध pidfd_getfd() को रेस करके, एक गैर-विशेषाधिकार प्राप्त उपयोगकर्ता एक विशेषाधिकार प्राप्त प्रक्रिया से खुले फ़ाइल डिस्क्रिप्टर चुरा सकता है।

यह शोषण accounts-daemon को लक्षित करता है: यह एक अल्पकालिक चाइल्ड को ट्रिगर करता है (SetIconFile के माध्यम से), डेमॉन के D-Bus सॉकेट FD को हथियाने की दौड़ जीतता है, फिर कॉलिंग उपयोगकर्ता को एक पासवर्ड-ज्ञात व्यवस्थापक खाते में पदोन्नत करने के लिए SetShell, SetAccountType, और SetPassword कॉल भेजता है।

शोषण लक्ष्य उपयोगकर्ता का पासवर्ड एक हार्डकोडेड मान पर सेट करता है — बनाने से पहले इसे स्रोत में संपादित करें :)

RHEL 10 और Fedora 44 पर dbus-broker के साथ परीक्षण किया गया (D-Bus सॉकेट FD 5 पर)।

निर्माण और उपयोग

make
./ptrace_may_dream [--retries N] [--nthreads N] [fd-slot]

"प्रक्रिया मर चुकी है, प्रक्रिया लंबी जीवित रहे।" - कर्नेल, शायद