manizada/dirtyah6CVE-2026-80844 の Python PoC: IPv6 AH6 の skb 破壊と ESP-in-UDP の復号により Linux 上で /etc/pam.d/su を上書きして root に昇格する。
[!WARNING] このPoCは、防御者、メンテナー、および許可されたセキュリティチームが、自身が所有するか、明示的にテストを許可されたシステム上で、パッチ、緩和策、検知、および露出を検証するための支援のみを目的として提供されています。
この資料の使用が合法、許可され、管理され、かつ隔離されたテスト環境で実施されることを保証する責任は、あなた自身にあります。
[!WARNING] このPoCは破壊的です。 ロールバックなしで
/etc/pam.d/suを変更します。 誤った上書きは、無関係なカーネルメモリを破壊し、マシンをハング/クラッシュさせる可能性があります。使い捨てのVM/使い捨てホストでのみ実行してください。
PoCの動作:
プライベートなユーザー/ネットワーク名前空間に入り、veth、IOAM6、netem、AH6、およびESP-in-UDPパスを構築し、/etc/pam.d/su をソースとするファイルバックドESP skbをキューに入れる
segments_left がアドレス数より大きい不正なIPv6ルーティングヘッダを送信し、AH6に近くのターゲットskbを破壊させる
破壊されたskbメタデータを使用して、ESPに選択したバイトをファイルバックドPAMページに復号させ、そして
pam_rootok.so が pam_permit.so になった後に su - root を実行する。
PoCは簡潔さを保つためx86-64を想定し、対象としています。理論的には、このバグはアーキテクチャ固有ではないはずです。
完全を期すために網羅的に列挙します:
7.1.3-100.fc43.x86_64 を搭載したFedora 43、または 6.8.0-134-generic を搭載したUbuntu 24.04 (これらのチェックを削除して試すこともできますが、他のディストリビューション/カーネルバージョンではターゲットごとのカスタマイズ/グルーミングが必要になる場合があります)/etc/pam.d/su レイアウトCAP_NET_ADMIN および CAP_NET_RAW を伴う非特権ユーザー/ネットワーク名前空間の作成sch_netem、およびvethを備えたIPv6 AH/XFRMのカーネルサポートgcc、openssl、ip、tc、unshare、nsenter、su、bash、、、、、、、、、、、、、、さらに直接 が拒否される場合は とロードされた プロファイルFedoraは16 vCPU/32 GB RAMで最も良好にテストされ、Ubuntuは29 vCPU/8 GB RAMでテストされました -- 他の組み合わせでも動作する可能性があります (特に異なるvCPU数)。PoCは他のさまざまなvCPU/RAMの組み合わせでも それなりに 動作しますが、YMMVです。
passwd エントリを持つ非特権ユーザーとして実行してください。
python3 dirtyah6_root_repro.py
envshsleepawkseqgrepkillcatsedrmddodtrunshare -Urnaa-exectrinity