ptrace_may_dream

CVE-2026-46333

pidfd_getfd(2) の ptrace_may_access() mm=NULL 競合状態を悪用したローカル権限昇格エクスプロイトです。

プロセスが終了処理中で mm が既に解放されている場合、カーネルは ptrace アクセスチェックを完全にスキップします。pidfd_getfd() をプロセス終了と競合させることで、非特権ユーザーが特権プロセスから開いているファイルディスクリプタを盗むことができます。

このエクスプロイトは accounts-daemon を標的とします。SetIconFile を介して短命な子プロセスを起動し、競合に勝ってデーモンの D-Bus ソケット FD を取得し、その後 SetShell、SetAccountType、SetPassword 呼び出しを送信して、実行ユーザーをパスワード既知の管理者アカウントに昇格させます。

エクスプロイトは対象ユーザーのパスワードをハードコードされた値に設定します。ビルド前にソースで編集してください :)

RHEL 10 および Fedora 44 の dbus-broker (D-Bus ソケットは FD 5) でテスト済みです。

ビルドと使用方法

make
./ptrace_may_dream [--retries N] [--nthreads N] [fd-slot]

「プロセスは死んだ。プロセス万歳。」 - カーネル、おそらく