CVE-2026-64563_EXP

実験研究のみを目的としています。prefetchとnpermのコード（設定が必要なメモリ参照set.gdb）は添付されておらず、最適化も行われていないため、命中確率は低いです。

著者は、この脆弱性の作者が関連情報をすでに公開していることに注目しています：https://github.com/google/security-research/pull/414

利用方法は全く異なります。完全には検証されていないため、この利用方法については保守的な見解を持っています（主に、sockスピンロックが競合状態になり得るかどうかは著者が実際にはテストしておらず、コードの一方的な理解によると、timerfdハード割り込みを介して競合状態を発生させられる可能性があります）。

事前分析：https://xz.aliyun.com/news/92649

利用方法：msg_msgsegをcross_cacheを介してtipc_sockに再利用し、いくつかのフィールドを偽造してすべてのcheckを通過させた後、最終的に解放します。そして、skbとpipe_bufferのoverlapを構築し、pipe_bufferのflagsを改ざんします（spliceで読み取り専用ファイル/etc/passwdを読み込んでからflagsを改ざんする、dirtypipeの拡張利用方法）。カーネルヒープアドレスが漏洩していないため、偽造したsk->lock.wqは自身を指すことができません。checkを通過させるためにcurr->func（ソースコードは__wake_up_commonの呼び出しチェーンを参照）をretとして偽造するため、dataonlyの実装はそれほど完全ではありません。