CVE-2025-40271 — proc_readdir_de() rb-tree UAF LPE

Proof-of-concept per una vulnerabilità di escalation dei privilegi locali nel filesystem proc del kernel Linux. Il bug è un use-after-free in proc_readdir_de() causato da rb_erase() senza RB_CLEAR_NODE(), che lascia collegamenti stantii nell'albero rosso-nero sfruttabili tramite race condition durante l'enumerazione delle directory.

Autore: MadExploits

Ricerca originale sulla vulnerabilità e PoC in C a cura di Aviral Srivastava (N-DAY RESEARCH). Questa repository include una versione shell (exploit.sh) per ambienti in cui la compilazione non è pratica.

Panoramica

Causa principale

Quando una voce di directory in proc viene rimossa, rb_erase() viene chiamato sul nodo rb della voce senza RB_CLEAR_NODE(). I nodi liberati possono rimanere raggiungibili tramite collegamenti stantii dell'albero. Se getdents64() entra in race condition con la rimozione dell'interfaccia in /proc/self/net/dev_snmp6/, il kernel potrebbe leggere memoria liberata — spesso rioccupata da oggetti msg_msg iniettati tramite heap spray — e restituire valori anomali di d_ino che rivelano puntatori dell'heap del kernel.

Kernel interessati e patchati

Il PoC controlla la versione del kernel in esecuzione e termina sulle build patchate:

Contenuto della repository

Entrambe le implementazioni seguono lo stesso flusso di sfruttamento:

1. Entrare nel namespace utente e di rete (ottenere CAP_NET_ADMIN nel net ns)
2. Creare coppie veth → popolare /proc/self/net/dev_snmp6/
3. Mettere getdents64() in race con la rapida eliminazione delle veth + heap spray
4. Rilevare l'UAF tramite valori di d_ino simili a puntatori del kernel
5. Tentare l'escalation (il LPE completo richiede offset KASLR specifici del kernel)

Requisiti

Comuni

• Linux x86_64
• Namespace utente non privilegiati abilitati:
  root@kitploit:~

  cat /proc/sys/kernel/unprivileged_userns_clone
  # must be 1
  

• Utente non-root (il PoC termina se si è già root)

exploit.c

• gcc con pthreads
• Header Linux (linux/netlink.h, ecc.)

gcc -o exploit exploit.c -lpthread

exploit.sh

• bash
• python3
• ip (iproute2)
• unshare (util-linux con supporto a --map-root-user)

Nessun compilatore richiesto.

Utilizzo

Versione shell (consigliata per test rapidi)

chmod +x exploit.sh
./exploit.sh

Versione C

gcc -o exploit exploit.c -lpthread
./exploit

Output previsto

Kernel vulnerabile — UAF innescato (successo parziale):

[+] Kernel X.Y.Z — VULNERABLE
[+] Namespace ready...
[+] Created 32 veth pairs (/proc/self/net/dev_snmp6 populated)
[+] UAF HIT! d_ino=0xffff8880........ (kernel heap pointer)
[+] Kernel heap leak: 0xffff8880........
[*] PARTIAL SUCCESS: UAF + heap leak DEMONSTRATED

Kernel patchato:

[-] Kernel X.Y.Z — PATCHED
[*] Kernel is patched. Nothing to do.

Note sullo sfruttamento

• Heap leak: Quando la race viene vinta, d_ino contiene un valore che corrisponde al pattern dei puntatori del kernel x86_64 (0xffff000000000000), tipicamente dovuto all'header m_list di msg_msg che si sovrappone ai dati del proc_dir_entry liberato.
• LPE completo: Sovrascrivere modprobe_path richiede l'offset tra l'indirizzo dell'heap rivelato e la base del testo del kernel — questo è specifico della build (KASLR). Il PoC dimostra l'UAF e il leak; una catena completa richiede gli offset per l'immagine del kernel di destinazione.
• Affidabilità: Il successo dipende dal timing dello scheduler. Di default, il PoC ritenta fino a 30 tentativi di race.

Mitigazione

• Aggiornare a un kernel patchato (vedi la tabella sopra).
• Se i namespace utente non sono necessari, disabilitare la creazione non privilegiata:
  root@kitploit:~

  sysctl -w kernel.unprivileged_userns_clone=0
  

• Applicare gli aggiornamenti di sicurezza del fornitore per CVE-2025-40271.

Disclaimer

Questo progetto è fornito solo per ricerca sulla sicurezza autorizzata, formazione e test difensivi.

• Eseguirlo solo su sistemi di tua proprietà o per cui disponi di esplicita autorizzazione scritta ai test.
• L'uso non autorizzato su sistemi di terze parti potrebbe violare le leggi vigenti.
• Gli autori e i collaboratori non sono responsabili dell'uso improprio di questo codice.

Crediti

Licenza

Uso a proprio rischio. Nessuna garanzia fornita.