🛠️ PinTheft — CVE-2026-43494

Escalation dei privilegi locale nel kernel Linux tramite sovrascrittura della cache delle pagine con RDS + io_uring

📌 Panoramica

PinTheft è un exploit sofisticato per l’escalation dei privilegi locale per CVE-2026-43494, un bug di conteggio dei riferimenti nel sottosistema RDS (Reliable Datagram Sockets) del kernel Linux.

Combinando un double‑free nel percorso zero‑copy di RDS con i buffer fissi di io_uring, l’exploit realizza una sovrascrittura affidabile della cache delle pagine di binari SUID‑root, portando a un’escalation dei privilegi locale verso root.

Un piccolo errore contabile in un percorso di rete oscuro diventa un LPE affidabile se combinato con le moderne funzionalità di io_uring.

🧪 Dettagli della vulnerabilità

• Componente: net/rds
• Attivazione: Percorso di fallimento in rds_message_zcopy_from_user() → gestione errata di op_nents
• Causa principale: put_page() doppia dopo il fallimento di iov_iter_get_pages2()
• Impatto: Utente locale non privilegiato → root

Punteggio CVSS: ~7,8 (Alto)

🎯 Tecnica dell’exploit ("PinTheft")

1. Ancorare la pagina target usando io_uring REGISTER_BUFFERS (+1024 riferimenti FOLL_PIN)
2. Clonare i buffer in un secondo ring + tenerli con un demone (impedisce lo sganciamento alla chiusura)
3. Rubare tutti i 1024 pin usando ripetuti sendmsg falliti con zero‑copy RDS
4. munmap() → libera pulita su PCP (LIFO)
5. Attivare il recupero della cache delle pagine di un binario SUID leggibile
6. Sovrascrivere la pagina recuperata usando IORING_OP_READ_FIXED tramite un struct page* penzolante
7. Eseguire il binario SUID modificato → shell root

Bypass:

• CONFIG_INIT_ON_ALLOC_DEFAULT_ON
• Controlli bad_page()
• Sganciamento io_uring alla distruzione del ring

📋 Requisiti

• Kernel con CONFIG_RDS e CONFIG_RDS_TCP abilitati
• io_uring abilitato (kernel.io_uring_disabled=0)
• Kernel ≥ 6.13 (per funzionalità io_uring ottimali)
• Almeno un binario SUID‑root leggibile sul sistema
• Architettura x86_64

Non vulnerabile per impostazione predefinita sulla maggior parte delle distribuzioni (RDS è raramente abilitato).

🚀 Utilizzo

# 1. Clonare e compilare
git clone https://github.com/0xBlackash/CVE-2026-43494.git
cd CVE-2026-43494
gcc -O2 -static CVE-2026-43494.c -o pintheft

# 2. Eseguire
sudo ./pintheft

📁 File

• CVE-2026-43494.c — Codice sorgente completo dell’exploit (PinTheft)
• README.md — Questo documento
• backup/ — Backup automatici dei binari SUID sovrascritti

🛡️ Mitigazione

# Disabilitare RDS
echo "install rds /bin/false" | sudo tee /etc/modprobe.d/disable-rds.conf
echo "install rds_tcp /bin/false" | sudo tee -a /etc/modprobe.d/disable-rds.conf
sudo modprobe -r rds_tcp rds

# Disabilitare io_uring (se non utilizzato)
echo "kernel.io_uring_disabled=2" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Aggiornare il kernel appena le patch sono disponibili.

🔍 Verifica

# Controllare se vulnerabile
modprobe -n rds_tcp && echo "RDS: Vulnerabile"
cat /proc/sys/kernel/io_uring_disabled
uname -r

⚠️ Disclaimer

• Questo exploit è solo a scopo educativo e di test autorizzato.
• Un uso improprio può destabilizzare il sistema o causare perdita di dati.
• Testare sempre in macchine virtuali isolate.

📜 Crediti

• Scoperta & PoC: Ashraf Zaryouh "0xBlackash"
• Assegnazione CVE: MITRE
• Divulgazione pubblica: 23 Maggio 2026

Realizzato con ❤️ per la comunità di ricerca sulla sicurezza

Rimanete curiosi. Rimanete al sicuro.