SLEY — PoC di PinTheft (CVE-2026-43494)

Prova di concetto — uid=1000(raken) → uid=0(root) dopo ./sley su WSL2 (6.6.87.2-microsoft-standard-WSL2)

Proof-of-concept monofile per CVE-2026-43494 (PinTheft): un'escalation dei privilegi locale del kernel Linux che combina un bug di conteggio dei riferimenti nella zerocopy RDS con i buffer fissi di io_uring per sovrascrivere la page cache di un binario SUID root.

Disclaimer: Questo repository è destinato esclusivamente a ricerca di sicurezza autorizzata, formazione e test difensivi. Eseguirlo su sistemi di cui non sei proprietario o per cui non hai esplicita autorizzazione ai test è illegale e non etico. Gli autori non si assumono alcuna responsabilità per un uso improprio.

Panoramica

La ricerca pubblica originale e il PoC sono stati pubblicati dal team V12 Security (Aaron Esau). SLEY è una reimplementazione indipendente e compatta con un'interfaccia di terminale stilizzata per uso in laboratorio e per l'apprendimento.

Come funziona

flowchart LR
    A[mmap anonymous page] --> B[io_uring: register fixed buffer]
    B --> C[Clone buffer table to 2nd ring]
    C --> D[1024× failing RDS zerocopy sends]
    D --> E[Drain FOLL_PIN bias / steal refs]
    E --> F[munmap → page freed]
    F --> G[SUID binary page reclaimed in page cache]
    G --> H[Stale io_uring ptr writes ELF stub]
    H --> I[exec SUID → root shell]

1. Ricognizione — Fissa l'affinità alla CPU 0, individua un binario SUID leggibile (su, mount, passwd, …).
2. Preparazione di io_uring — Registra la pagina anonima come buffer fisso (FOLL_PIN bias ≈ 1024).
3. Furto del pin — Inonda con invii zerocopy RDS falliti; ogni fallimento può rilasciare un riferimento extra sulla prima pagina pinnata.
4. Reclaim e sovrascrittura — L'unmap libera la pagina; la riapertura del target SUID compete con il reclaim della page cache; i metadati ormai obsoleti del buffer fisso consentono di scrivere una piccola stub ELF x86_64 nella cache.
5. Privesc — l'execve del binario SUID esegue la stub iniettata come root.

Requisiti

Kernel / configurazione

• Kernel Linux vulnerabile (non patchato) con il bug RDS presente
• CONFIG_RDS=y e CONFIG_RDS_TCP=y
• CONFIG_IO_URING=y e kernel.io_uring_disabled = 0
• Moduli rds / rds_tcp caricati (o caricabili automaticamente da utenti non privilegiati)
• Kernel ≥ 6.13 per l'API IORING_REGISTER_CLONE_BUFFERS usata dalla catena pubblica
• x86_64 per il payload ELF di shell incorporato in questo PoC

Strumenti di compilazione

sudo apt install build-essential linux-libc-dev   # Debian/Ubuntu
# or equivalent headers package on your distro

Permessi

• Un utente locale non privilegiato è sufficiente su un host vulnerabile (questo è il modello di minaccia)
• Non eseguire su sistemi di produzione

Verifica dell'esposizione (sola lettura)

# Patched? (example — adjust for your distro)
uname -r
grep -r CVE-2026-43494 /usr/share/doc/linux* 2>/dev/null || true

# RDS available?
grep CONFIG_RDS /boot/config-$(uname -r) 2>/dev/null
lsmod | grep -E '^rds'

# io_uring enabled?
cat /proc/sys/kernel/io_uring_disabled  # expect 0

Compilazione

gcc -O2 -Wall -Wextra -o sley sley.c

Linking statico (opzionale, per immagini di laboratorio minime):

gcc -O2 -static -o sley sley.c

Utilizzo

./sley

Tutto l'output di stato va su stderr (interfaccia ANSI a 256 colori, barra di avanzamento, log a fasi). Assicurati che il tuo terminale supporti UTF-8 e truecolor/256 colori per l'interfaccia a caratteri box-drawing.

Esempio di fasi:

PHASE 1 │ Reconnaissance
PHASE 2 │ Memory & io_uring setup
PHASE 3 │ Pin reference theft (RDS zerocopy)
PHASE 4 │ Page cache overwrite & privesc

Risultato atteso (host vulnerabile)

Su una configurazione sfruttata con successo, la catena si completa e cede il controllo al binario SUID individuato, con la prima pagina sovrascritta — producendo una root shell se la race e lo stato del kernel si allineano.

Su kernel patchati, host induriti o in assenza di RDS/io_uring, il PoC fallirà subito (nessun target SUID, errori mmap/io_uring/socket, ecc.).

Mitigazione

Gli advisory di sicurezza specifici per distribuzione possono includere patch backportate — segui la coda di sicurezza del kernel del tuo fornitore.

Struttura del progetto

.
├── README.md              # This file
├── proof-of-concept.jpg   # Screenshot: successful LPE (uid 1000 → root)
├── sley.c                 # Single-file PoC + terminal UI
└── .gitignore

Riferimenti

• NVD — CVE-2026-43494
• oss-security — discussione su PinTheft
• Commit della correzione nel kernel

Note legali

Questo software è fornito così com'è per ricerca e formazione. Sei responsabile del rispetto delle leggi applicabili e dell'ottenimento di un'autorizzazione scritta prima di testare qualsiasi sistema che non possiedi.

Licenza

MIT — consulta il file di licenza del repository se aggiunto. Usa in modo responsabile.