DiagSpill (CVE-2026-74469)

Writeup

[!WARNING] Il PoC è fornito esclusivamente per aiutare difensori, manutentori e team di sicurezza autorizzati a validare patch, mitigazioni, rilevamenti ed esposizione su sistemi di loro proprietà o che sono esplicitamente autorizzati a testare.

Sei l'unico responsabile di garantire che il tuo utilizzo di questo materiale sia legale, autorizzato, controllato e condotto in un ambiente di test isolato.

[!WARNING] Questo PoC è distruttivo. Sovrascrive circa 8 MiB di memoria del kernel e lascia tabelle delle pagine corrotte mantenute dal detentore di memoria sacrificale diagspill_hold fino al riavvio. Terminare quel processo può destabilizzare il kernel.

Memoria non correlata può essere corrotta e la macchina può andare in panic. Eseguilo solo in una VM usa e getta/host sacrificabile.

Il PoC:

1. compila l'exploit C incorporato (che esegue quanto segue)
2. colloca gli skb delle risposte diagnostiche SCTP accanto a un grande serbatoio di tabelle delle pagine e avvia 2.048 processi worker per le credenziali
3. crea un'associazione SCTP con 81.920 trasporti peer, il cui conteggio a 16 bit è 16.384, quindi chiede a sock_diag una risposta dimensionata per 16.384 peer mentre il ciclo di copia ne scrive tutti 81.920
4. trasforma le voci PMD sovrascritte in mappature leggibili e scrivibili dall'utente della RAM fisica, quindi le analizza alla ricerca delle credenziali attive dei worker, e
5. azzera i campi UID/GID di un worker, usa quel worker per installare una regola sudoers temporanea, apre una shell root tramite sudo e distacca il processo che detiene le mappature corrotte.

Il PoC presuppone e prende di mira x86-64 per mantenere le cose semplici. In teoria, il bug non dovrebbe essere specifico per l'architettura.

Requisiti

Enumerazione esaustiva per completezza:

• Ubuntu 24.04 con 6.17.0-35-generic, o Fedora 44 con 6.19.10-300.fc44.x86_64 (puoi provare a rimuovere questi controlli, ma altre distro/versioni del kernel potrebbero richiedere personalizzazione/grooming per target)
• x86-64 con pagine da 4 KiB, esattamente quattro CPU logiche online, CPU 0-3 nella maschera di affinità del processo, e MemTotal tra 3.700.000 e 4.200.000 KiB
• Un account ordinario i cui valori reali, effettivi e salvati di UID/GID corrispondano
• Un nome account contenente solo lettere, cifre, _, o -
• Nessun accesso in lettura preesistente a /root o sudo senza password
• Supporto kernel per SCTP e sctp_diag, allocazione di huge page trasparenti, limiti sufficienti di processi/file per 2.048 worker e il muro del socket diagnostico, e spazio di indirizzamento x86-64 e memoria sufficienti per trattenere circa 2.343 MiB di tabelle delle pagine su Ubuntu o 3.125 MiB su Fedora
• Un include funzionante di /etc/sudoers.d e un /usr/bin/sudo eseguibile
• Varie cose nello userspace (che le distro testate in ambito dovrebbero per lo più avere di default): Python 3.9+, /usr/bin/env, con header di sviluppo libc e Linux UAPI, , , , , e

Il PoC è molto sensibile al numero di vCPU e alla RAM, quindi impone 4 vCPU e 4 GB di RAM. Probabilmente avrai bisogno di personalizzazione/grooming per target per altre combinazioni di vCPU/memoria.

Eseguilo come utente non privilegiato con una voce in passwd; il PoC può richiedere un po' di tempo per costruire la grande associazione SCTP.

Utilizzo

python3 diagspill_root_repro.py

Dopo un'esecuzione (riuscita o meno), riavvia la macchina per rilasciare diagspill_hold per sicurezza. Se lo termini direttamente, quasi certamente destabilizzerai il kernel.