CVE-2026-23111 — Linux Kernel nf_tables UAF → LPE

Un exploit funzionante di privilege escalation locale per CVE-2026-23111, un use-after-free nel sottosistema nf_tables del kernel Linux. Testato su linux-6.12.69 (x86-64).

Requisiti del target

L'exploit presuppone un kernel target compilato con:

Gli offset in offsets.h sono specifici per una singola build del kernel — rigenerali per qualsiasi altro kernel

Struttura del repository

Compilazione

Richiede musl-gcc (sudo apt install musl-tools).

make          # builds exp + rootme (static ELFs)
make clean    # remove built binaries

Entrambi i binari sono statici, così da poter essere eseguiti all'interno di un initramfs busybox minimale senza librerie condivise. exp si aspetta rootme accanto a sé in /cve-2026-23111-poc/ sul target.

Porting su un altro kernel

offsets.h è generato da una build specifica. Per un vmlinux diverso:

make offsets SYSTEM_MAP=/path/to/System.map

gen_offsets.sh estrae simboli (single_start, modprobe_path, init_ipc_ns, msleep, memcpy, …) e gadget ROP, tutti come offset dalla base del kernel. Dovrai anche riverificare gli offset delle struct incorporate in exp.c (layout di nft_chain, nft_expr_ops.validate, init_ipc_ns + 0x110, msg_queue.q_messages, xa_node.slots) con pahole / disassembly se il tuo kernel differisce in modo significativo da 6.12.x.

Disclaimer

Questo codice è pubblicato per ricerca difensiva sulla sicurezza e didattica. È rivolto a una VM di laboratorio che esegue un kernel noto come vulnerabile. Non usarlo contro sistemi di cui non sei proprietario o che non sei autorizzato a testare. L'autore non si assume alcuna responsabilità per usi impropri.