TUNderflow (CVE-2026-81000)

Writeup

[!WARNING] Il PoC è fornito esclusivamente per aiutare difensori, manutentori e team di sicurezza autorizzati a convalidare patch, mitigazioni, rilevamenti ed esposizione su sistemi di loro proprietà o che sono esplicitamente autorizzati a testare.

Sei l'unico responsabile di garantire che il tuo utilizzo di questo materiale sia legale, autorizzato, controllato e condotto in un ambiente di test isolato.

[!WARNING] Questo PoC è distruttivo. Modifica /etc/pam.d/su senza alcun rollback. Una sovrascrittura mal posizionata può corrompere memoria del kernel non correlata e bloccare/crashare la macchina.

Eseguilo solo in una VM usa e getta/host sacrificabile.

Il PoC:

1. entra in un namespace privato utente/rete, crea dispositivi TUN e una configurazione OVS/netkit/VXLAN che propaga un headroom di ricezione sovradimensionato
2. prepara (grooming) teste skb da 4 KiB accanto ad anelli pipe contenenti un buffer di un byte backed da file da /etc/pam.d/su
3. invia pacchetti TUN candidati la cui scrittura OVS fuori dai limiti può impostare PIPE_BUF_FLAG_CAN_MERGE in un pipe_buffer vicino, e
4. scrive pam_permit.so attraverso la pipe, concludendo con su - root.

Il PoC presuppone e prende di mira x86-64 per mantenere le cose semplici. In teoria, il bug non dovrebbe essere specifico per l'architettura.

Requisiti

Enumerazione esaustiva per completezza:

• Fedora 44 Server con 6.19.10-300.fc44.x86_64, o Ubuntu 24.04.4 con 6.17.0-40-generic (puoi provare a rimuovere questi controlli, ma altre distro/versioni del kernel potrebbero richiedere personalizzazione/grooming specifici per target)
• Un normale account non-root, un /etc/pam.d/su non modificato contenente pam_rootok.so, e i moduli PAM pam_rootok.so e pam_permit.so
• CPU logica 0 nella maschera di affinità del processo
• Creazione di namespace utente/rete non privilegiati con CAP_NET_ADMIN all'interno di quel namespace
• Un /dev/net/tun accessibile, più supporto kernel per TUN, datapath Open vSwitch, netkit e VXLAN
• Permesso di creare anelli pipe da 256 KiB e capacità per circa 800 file descriptor aperti
• Varie cose in userspace (che le distro testate in ambito dovrebbero avere per lo più di default): Python 3.10+, ip, unshare, true e su, più e il profilo caricato su Ubuntu se diretto viene negato

Entrambi i target sono stati testati con 29 vCPU a 4 GB e 32 GB di RAM, con quest'ultima più affidabile. Altre combinazioni di CPU/memoria potrebbero richiedere più grooming e potrebbero reindirizzare la sovrascrittura in memoria non correlata.

Eseguilo come utente non privilegiato con una voce in passwd.

Utilizzo

python3 tunderflow_root_repro.py