SLEY — PinTheft PoC (CVE-2026-43494)

概念実証 — WSL2（6.6.87.2-microsoft-standard-WSL2）で ./sley 実行後に uid=1000(raken) → uid=0(root)

CVE-2026-43494（PinTheft）のシングルファイル概念実証です。RDS zerocopy の参照カウントバグとio_uring 固定バッファを連鎖させ、SUID root バイナリのページキャッシュを上書きする Linux カーネルローカル特権昇格です。

免責事項: このリポジトリは認可されたセキュリティ研究、教育、および防御的テストのみを目的としています。所有していない、またはテストする明示的な許可がないシステムに対して実行することは違法かつ非倫理的です。著者は悪用によるいかなる責任も負いません。

概要

当初の公開研究と PoC は V12 Security チーム（Aaron Esau）によって公開されました。SLEY は、ラボでの使用と学習を目的とした、独立したコンパクトな再実装で、スタイル付きターミナル UI を備えています。

動作の仕組み

flowchart LR
    A[mmap anonymous page] --> B[io_uring: register fixed buffer]
    B --> C[Clone buffer table to 2nd ring]
    C --> D[1024× failing RDS zerocopy sends]
    D --> E[Drain FOLL_PIN bias / steal refs]
    E --> F[munmap → page freed]
    F --> G[SUID binary page reclaimed in page cache]
    G --> H[Stale io_uring ptr writes ELF stub]
    H --> I[exec SUID → root shell]

1. 偵察（Recon） — CPU 0 に固定し、読み取り可能な SUID バイナリ（su、mount、passwd など）を探します。
2. io_uring セットアップ — 匿名ページを固定バッファとして登録します（FOLL_PIN バイアス ≈ 1024）。
3. ピン盗取（Pin theft） — 失敗する RDS zerocopy 送信を大量に発生させます。各失敗で最初にピン留めされたページの参照が余分に 1 つ減る可能性があります。
4. 回収と上書き（Reclaim & overwrite） — アンマップによりページが解放されます。SUID ターゲットを再度開くとページキャッシュの回収と競合します。古い固定バッファのメタデータにより、小さな x86_64 ELF スタブをキャッシュに書き込めます。
5. 特権昇格（Privesc） — SUID バイナリを execve すると、注入されたスタブが root として実行されます。

要件

カーネル / 設定

• RDS バグが存在する脆弱な（未パッチの）Linux カーネル
• CONFIG_RDS=y かつ CONFIG_RDS_TCP=y
• CONFIG_IO_URING=y かつ kernel.io_uring_disabled = 0
• rds / rds_tcp モジュールがロードされている（または非特権ユーザーが自動ロード可能）
• 公開チェーンで使用される IORING_REGISTER_CLONE_BUFFERS API には Kernel ≥ 6.13 が必要
• この PoC に組み込まれたシェル ELF ペイロードには x86_64 が必要

ビルドツール

sudo apt install build-essential linux-libc-dev   # Debian/Ubuntu
# or equivalent headers package on your distro

権限

• 脆弱なホストでは非特権ローカルユーザーで十分です（これが脅威モデルです）
• 本番システムでは実行しないでください

曝露の確認（読み取り専用）

# Patched? (example — adjust for your distro)
uname -r
grep -r CVE-2026-43494 /usr/share/doc/linux* 2>/dev/null || true

# RDS available?
grep CONFIG_RDS /boot/config-$(uname -r) 2>/dev/null
lsmod | grep -E '^rds'

# io_uring enabled?
cat /proc/sys/kernel/io_uring_disabled  # expect 0

ビルド

gcc -O2 -Wall -Wextra -o sley sley.c

静的リンク（任意。最小限のラボイメージ用）:

gcc -O2 -static -o sley sley.c

使用方法

./sley

すべてのステータス出力は stderr に送られます（ANSI 256色 UI、プログレスバー、フェーズ別ログ）。ボックス描画 UI には端末が UTF-8 と truecolor/256色 に対応している必要があります。

フェーズ例:

PHASE 1 │ Reconnaissance
PHASE 2 │ Memory & io_uring setup
PHASE 3 │ Pin reference theft (RDS zerocopy)
PHASE 4 │ Page cache overwrite & privesc

期待される結果（脆弱なホスト）

攻撃が成功する構成では、チェーンが完了し、最初のページが上書きされた状態で発見した SUID バイナリに引き継がれます。レースとカーネル状態が噛み合えば、root シェルが得られます。

パッチ適用済みカーネル、堅牢化されたホスト、または RDS/io_uring が存在しない場合、PoC は早期に失敗します（SUID ターゲットが見つからない、mmap/io_uring/socket エラーなど）。

緩和策

ディストリビューション固有のセキュリティアドバイザリにはバックポートされたパッチが含まれる場合があります。ベンダーのカーネルセキュリティキューを追跡してください。

プロジェクト構成

.
├── README.md              # This file
├── proof-of-concept.jpg   # Screenshot: successful LPE (uid 1000 → root)
├── sley.c                 # Single-file PoC + terminal UI
└── .gitignore

参照

• NVD — CVE-2026-43494
• oss-security — PinTheft discussion
• カーネル修正コミット

法的免責事項

このソフトウェアは研究および教育目的で現状のまま提供されます。適用される法律を遵守し、所有していないシステムをテストする前に書面による許可を得る責任はあなたにあります。

ライセンス

MIT — 追加された場合はリポジトリのライセンスファイルを参照してください。責任を持って使用してください。