tanzz1337/cve-2026-43494-pintheft-pocCVE-2026-43494 (PinTheft) के लिए प्रूफ-ऑफ-कॉन्सेप्ट: RDS zerocopy refcount बग + io_uring fixed buffers के ज़रिए Linux LPE → SUID page-cache अधिलेखन। केवल अधिकृत शोध हेतु।
प्रमाण-अवधारणा — WSL2 पर ./sley चलाने के बाद uid=1000(raken) → uid=0(root) (6.6.87.2-microsoft-standard-WSL2)
CVE-2026-43494 (PinTheft) के लिए एकल-फ़ाइल प्रमाण-अवधारणा: एक Linux कर्नेल स्थानीय विशेषाधिकार वृद्धि जो RDS zerocopy संदर्भ-गणना बग को io_uring फिक्स्ड बफ़र्स के साथ जोड़कर SUID-root बाइनरी के पेज कैश को अधिलेखित करती है।
अस्वीकरण: यह रिपॉजिटरी केवल अधिकृत सुरक्षा अनुसंधान, शिक्षा और रक्षात्मक परीक्षण के लिए है। जिन प्रणालियों के स्वामी आप नहीं हैं या जिनके परीक्षण की स्पष्ट अनुमति आपके पास नहीं है, उनके विरुद्ध इसे चलाना अवैध और अनैतिक है। लेखक दुरुपयोग के लिए कोई दायित्व नहीं लेते हैं।
| आइटम | विवरण |
|---|---|
| CVE | CVE-2026-43494 |
| सार्वजनिक नाम | PinTheft |
| घटक | net/rds — zerocopy भेजें पथ (rds_message_zcopy_from_user) |
| प्रिमिटिव | पेज पिन विफल होने पर दोहरा put_page() → FOLL_PIN रेफ़्स चुराना |
| हथियारीकरण | io_uring फिक्स्ड बफ़र + विफल RDS zerocopy → पेज-कैश UAF लेखन |
| प्रभाव | कमजोर कॉन्फ़िगरेशन पर स्थानीय root |
| अपस्ट्रीम फिक्स | e17492979319 |
मूल सार्वजनिक शोध और PoC V12 Security टीम (Aaron Esau) द्वारा प्रकाशित किए गए थे। SLEY प्रयोगशाला उपयोग और सीखने के लिए एक स्वतंत्र, कॉम्पैक्ट पुनर्कार्यान्वयन है, जिसमें एक स्टाइलिश टर्मिनल UI है।
flowchart LR
A[mmap anonymous page] --> B[io_uring: register fixed buffer]
B --> C[Clone buffer table to 2nd ring]
C --> D[1024× failing RDS zerocopy sends]
D --> E[Drain FOLL_PIN bias / steal refs]
E --> F[munmap → page freed]
F --> G[SUID binary page reclaimed in page cache]
G --> H[Stale io_uring ptr writes ELF stub]
H --> I[exec SUID → root shell]
su, mount, passwd, …) खोजें।FOLL_PIN बायस ≈ 1024)।execve SUID बाइनरी इंजेक्ट किए गए स्टब को root के रूप में चलाता है।CONFIG_RDS=y और CONFIG_RDS_TCP=yCONFIG_IO_URING=y और kernel.io_uring_disabled = 0rds / rds_tcp मॉड्यूल लोड हों (या अनविशेषाधिकार प्राप्त उपयोगकर्ताओं द्वारा ऑटोलोड योग्य हों)IORING_REGISTER_CLONE_BUFFERS API के लिए कर्नेल ≥ 6.13sudo apt install build-essential linux-libc-dev # Debian/Ubuntu
# or equivalent headers package on your distro
# Patched? (example — adjust for your distro)
uname -r
grep -r CVE-2026-43494 /usr/share/doc/linux* 2>/dev/null || true
# RDS available?
grep CONFIG_RDS /boot/config-$(uname -r) 2>/dev/null
lsmod | grep -E '^rds'
# io_uring enabled?
cat /proc/sys/kernel/io_uring_disabled # expect 0
gcc -O2 -Wall -Wextra -o sley sley.c
स्टैटिक लिंकिंग (वैकल्पिक, न्यूनतम प्रयोगशाला इमेज के लिए):
gcc -O2 -static -o sley sley.c
./sley
सभी स्थिति आउटपुट stderr पर जाता है (ANSI 256-रंग UI, प्रगति पट्टी, चरणबद्ध लॉगिंग)। सुनिश्चित करें कि आपका टर्मिनल बॉक्स-ड्रॉइंग UI के लिए UTF-8 और truecolor/256 रंगों का समर्थन करता है।
उदाहरण चरण:
PHASE 1 │ Reconnaissance
PHASE 2 │ Memory & io_uring setup
PHASE 3 │ Pin reference theft (RDS zerocopy)
PHASE 4 │ Page cache overwrite & privesc
सफलतापूर्वक शोषित कॉन्फ़िगरेशन पर, श्रृंखला पूरी होती है और अधिलेखित पहले पेज के साथ खोजे गए SUID बाइनरी को नियंत्रण सौंपती है — यदि रेस और कर्नेल स्थिति संरेखित होती हैं तो root शेल प्राप्त होता है।
पैच किए गए कर्नेल, हार्डन किए गए होस्ट, या RDS/io_uring की अनुपस्थिति में, PoC जल्दी विफल हो जाएगा (कोई SUID लक्ष्य नहीं, mmap/io_uring/socket त्रुटियाँ, आदि)।
| कार्रवाई | नोट्स |
|---|---|
| कर्नेल पैच करें | कमिट e17492979319 वाला स्थिर फिक्स लागू करें |
| RDS अक्षम करें | यदि आवश्यक न हो तो modprobe -r rds_tcp rds (और ऑटोलोड ब्लॉक करें) |
| io_uring प्रतिबंधित करें | sysctl के माध्यम से kernel.io_uring_disabled=1 या 2 |
| न्यूनतम विशेषाधिकार | अनावश्यक SUID बाइनरी हटाएँ; हार्डन प्रोफ़ाइल वाले कंटेनर का उपयोग करें |
| निगरानी | RDS zerocopy विफलताओं के विस्फोट + io_uring बफ़र पंजीकरण पैटर्न पर अलर्ट करें |
डिस्ट्रो-विशिष्ट सुरक्षा सलाहकारियाँ बैकपोर्टेड पैच भेज सकती हैं — अपने विक्रेता की कर्नेल सुरक्षा कतार पर नज़र रखें।
.
├── README.md # This file
├── proof-of-concept.jpg # Screenshot: successful LPE (uid 1000 → root)
├── sley.c # Single-file PoC + terminal UI
└── .gitignore
यह सॉफ़्टवेयर शोध और शिक्षा के लिए यथा-स्थिति (as-is) प्रदान किया जाता है। लागू कानूनों का पालन करने और किसी भी ऐसी प्रणाली का परीक्षण करने से पहले लिखित प्राधिकरण प्राप्त करने की ज़िम्मेदारी आपकी है जिसके स्वामी आप नहीं हैं।
MIT — यदि जोड़ा गया हो तो रिपॉजिटरी लाइसेंस फ़ाइल देखें। जिम्मेदारी से उपयोग करें।