CVE-2026-74580 - LPE

CVE-2026-74580 vhost: reimposta la cache dei metadati del vring alla riconfigurazione del vring - Exploit

Cronologia dell'exploit

Ho scoperto questa vulnerabilità tre giorni dopo che era stata segnalata da un altro ricercatore. Tuttavia, avevo già sviluppato l'exploit e ho scelto di non pubblicarlo finché non avessi verificato che la maggior parte delle distribuzioni Linux avesse applicato le patch necessarie.

Come funziona l'exploit

1. Verifica dello stato della vulnerabilità: Verificare se la versione del kernel in esecuzione è vulnerabile e se i permessi su /dev/vhost-net e /dev/vhost-vsock sono impostati a 0660.
2. Identificazione degli offset specifici del kernel: Se il sistema soddisfa le condizioni sopra indicate, identificare gli offset specifici del kernel richiesti dall'exploit: OFF_DIVIDE, OFF_INIT_TASK, T_TASKS, T_PID, T_REAL_CRED e C_UID. Se questi offset non sono elencati nella tabella degli offset dell'exploit, possono essere ottenuti da informazioni disponibili pubblicamente. Assicurarsi di utilizzare informazioni corrispondenti alla versione esatta del kernel.
3. Esecuzione dell'exploit: Una volta soddisfatti tutti i prerequisiti, rendere lo script eseguibile usando chmod +x CVE-2026-74580.sh, quindi eseguirlo con ./CVE-2026-74580.sh. L'exploit gestisce automaticamente i passaggi rimanenti.

Versione testata ed exploit confermato

RHEL 10.x

Kernel: 6.12 | cred.uid: 8

Simboli da ricostruzioni 1:1 di AlmaLinux, Rocky Linux e CentOS Stream dello stesso NVR.

6.12.0-211.47.1.el10_2.x86_64)  echo  0x1001030  0x2212940  2624  2832  3352  8 ;;  # RHEL 10.2 vuln
6.12.0-211.7.1.el10_2.x86_64)   echo  0x1001030  0x2212940  2624  2832  3352  8 ;;  # RHEL 10.2 vuln
6.12.0-124.8.1.el10_1.x86_64)   echo  0x1001030  0x2010940  2560  2768  3288  8 ;;  # RHEL 10.1 vuln
6.12.0-55.9.1.el10_0.x86_64)    echo  0x1001030  0x2010940  2544  2752  3272  8 ;;  # RHEL 10.0 vuln
6.12.0-248.el10.x86_64)         echo  0x1001030  0x2212900  2624  2832  3352  8 ;;  # CentOS Stream 10 vuln

RHEL 9.x

Kernel: 5.14 | cred.uid: 4

5.14.0-734.el9.x86_64)          echo  0xe00930  0x1e1a900  2544  2744  3248  4 ;;  # CentOS Stream 9
5.14.0-731.el9.x86_64)          echo  0xe00930  0x1e1a900  2544  2744  3248  4 ;;  # CentOS Stream 9
5.14.0-687.44.1.el9_8.x86_64)   echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-687.36.1.el9_8.x86_64)   echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-687.39.1.el9_8.x86_64)   echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-687.5.1.el9_8.x86_64)    echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-611.5.1.el9_7.x86_64)    echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.7 vuln
5.14.0-570.12.1.el9_6.x86_64)   echo  0xe00940  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.6 vuln
5.14.0-503.11.1.el9_5.x86_64)   echo  0xe00940  0x1e1a8c0  2512  2712  3216  4 ;;  # RHEL 9.5 vuln
5.14.0-427.13.1.el9_4.x86_64)   echo  0xe00950  0x1c1a940  2512  2752  3256  4 ;;  # RHEL 9.4 vuln
5.14.0-362.8.1.el9_3.x86_64)    echo  0xe00910  0x1c1a940  2512  2776  3280  4 ;;  # RHEL 9.3 vuln
5.14.0-284.11.1.el9_2.x86_64)   echo  0xc008f0  0x1a1a940  2424  2688  3192  4 ;;  # RHEL 9.2 vuln
5.14.0-162.6.1.el9_1.x86_64)    echo  0xc008f0  0x1a1a940  2424  2688  3192  4 ;;  # RHEL 9.1 vuln
5.14.0-70.13.1.el9_0.x86_64)    echo  0xc00860  0x1a1a940  2424  2688  3192  4 ;;  # RHEL 9.0 vuln

Fedora

6.19.10-300.fc44.x86_64)        echo  0x1030  0x2a131c0  2560  2768  3288  8 ;;  # Fedora 44