Linux LPE ツールキット

マルチアーキテクチャ対応の権限昇格ツールキットで、24のエクスプロイトを内蔵しています（amd64 はプリビルド済み。その他のアーキテクチャは実行時に gcc でコンパイル）。amd64、arm64、386、mips、mipsle、mips64、mips64le をサポートします。カーネルバージョンを検出し、修正済みのエクスプロイトを除外したうえで、root を取得するまで各エクスプロイトを順に試行します。

クイックスタート

# run directly (no gcc needed on target if pre-compiled binaries are embedded)
./lpe-toolkit

# dry-run: show exploit plan without executing
./lpe-toolkit --dry-run

# skip specific exploits
./lpe-toolkit --skip "dirtyfrag,dirtypipe"

# execute a command once root is achieved and show its output
./lpe-toolkit -c "id"

# silent automation: suppress all output except the command result
./lpe-toolkit -q -c "whoami"

# verbose output (includes exploit stdout/stderr)
./lpe-toolkit -v

使い方

注: -v と -q は併用できません。両方が指定された場合、ツールキットはエラーで終了します。

エクスプロイト

ソースからのビルド

# native build (pre-compile C exploits then embed in Go binary)
make

# cross-compile for all architectures (native arch's C exploits only)
make build-all

# run directly from source (compile exploits on target at runtime)
make run-source

# clean build artifacts
make clean

必要条件: Go 1.21+、gcc、およびターゲットアーキテクチャ用のクロスコンパイラ:

• arm64: aarch64-linux-gnu-gcc
• 386: i686-linux-gnu-gcc
• mips: mips-linux-gnu-gcc
• mipsle: mipsel-linux-gnu-gcc
• mips64: mips64-linux-gnuabi64-gcc
• mips64le: mips64el-linux-gnuabi64-gcc

プリコンパイル済みバイナリのパッケージング

--just-build フラグは、使用可能なすべてのエクスプロイトを解決してパスを出力します。実行時に何が利用可能かを確認するために使用してください。

各リリースのプリコンパイル済みバイナリアーカイブには、C エクスプロイトを埋め込んだ静的リンクの Go バイナリが含まれます。すべてのエクスプロイトが全アーキテクチャ向けにプリコンパイルされています。

アーキテクチャ

• toolkit.go: コアのエクスプロイト定義、カーネルバージョンの解析、バイナリ解決、GTFOBins sudo 悪用ハンドラ、非対話型コマンド実行用の execCommandAsRoot()、msg()/say() の出力冗長度ヘルパー
• main.go: フラグ（-c、-q、-v、--skip、--dry-run、--just-build）とシグナル処理を備えた CLI エントリポイント
• build-exploits.sh: C エクスプロイト用のクロスコンパイルスクリプト
• exploits/: //go:embed を介して埋め込まれる C ソースファイルとプリコンパイル済みバイナリ

主な変更点

• cve_2026_41651.c: Pack2TheRoot を追加 — 生の D-Bus クライアント（libdbus 不使用）が PackageKit の InstallFiles の SIMULATE/NONE フラグをレースさせ、root 権限での postinst 実行を誘発し、setuid-root の bash を /var/tmp/.suid_bash に配置します
• parseKernelVersion の修正: カーネルバージョンの比較時に -rcN サフィックスを処理するため parseIntPrefix を追加
• bad_epoll.c を正しい J-jaeyoung アーキテクチャで書き直し: 2つの epoll ペア、3000以上のウェイターによる timerfd IRQ の拡大、深さ3のオラクル、共有変数上の acquire/release アトミック
• すべてのエクスプロイト（リーク専用／PoC 専用を含む）が、root シェルを起動するか、要求されたコマンドを実行するようになりました
• cve_2026_46333.c: try_passwd_root() を追加 — passwd から書き込み可能な /etc/shadow の fd を奪い、既知のパスワードハッシュを書き込んだ後、su - を起動します。リーク専用のメソッドにフォールバックします
• cve_2025_38352.c: dirtypipe 方式の splice() による /etc/passwd の上書きを追加 → → を起動

追加された新エクスプロイト

• peditcow.c (CVE-2026-46331): tc-pedit の page-cache 書き込みプリミティブが su の ELF エントリをシェルコードで上書きします。v5.18–v7.1-rc6。非特権ユーザー + ネットワーク名前空間で CAP_NET_ADMIN を取得できます。
• dirtyclone.c (CVE-2026-43503): DirtyClone の Python 実装を C に移植。ESP-in-UDP TEE netfilter ターゲットが /etc/passwd を破壊します。自己完結型の AES-128-CBC 実装。v7.1-rc1–rc4。
• bad_epoll.c (CVE-2026-46242): Bad Epoll の close-vs-close レース UAF。ターゲット固有: デフォルトのオフセットは lts-6.12.67 (kernelCTF) を対象にしています。お使いのカーネルに合わせて OFF_* と PIVOT* の define をカスタマイズしてください。/proc/kallsyms (kptr_restrict=0) が必要です。パッチ未適用のカーネルで実行してください — 修正（コミット a6dc643c6931、ep_clear_and_put を追加）は Ubuntu 22.04 の 6.8 HWE を含む多くのディストリビューションにバックポートされています。
• cve_2026_31694.c (CVE-2026-31694): FUSE readdir キャッシュの OOB 書き込み。隣接する page-cache ページに24バイトをオーバーフローさせ、/etc/passwd の root をパスワードなしにします。v6.15+。fusermount3 が必要です。