# CTT-Vsyslog-Vortex

**CVE-2023-6246 (glibc __vsyslog_internal() ヒープオーバーフロー) のための時間的共鳴エクスプロイト**

Copyright © 2026 Americo Simoes. 無断転載を禁じます。

---

## 概要

CVE-2023-6246 は、glibc の `__vsyslog_internal()` 関数 (`syslog()` と `vsyslog()` から呼び出されます) におけるヒープベースのバッファオーバーフローです。この脆弱性は glibc 2.37 で導入され、2.36 にバックポートされ、以下のシステムに影響します:

- Debian 12 および 13
- Ubuntu 23.04 および 23.10
- Fedora 37–39

標準的な悪用は、ヒープレイアウトのランダム化により信頼性が低くなります。**CTT-Vsyslog-Vortex** は、収束時間理論 (CTT) を適用して以下のことを行います:

- 33の時間的層にわたってヒープレイアウトを予測します
- α = 0.0302011 の減衰を使用して割り当てを整列させます
- トリガーを最適な瞬間に位相同期させます

**結果:** ルートへの信頼性の高いローカル権限昇格。

---

## 適用される CTT 物理

| CTT の概念 | エクスプロイトへの応用 |
|-------------|----------------------|
| α = 0.0302011 | ヒープスプレー割り当てのタイミング |
| 33層 | 予測可能なレイアウトのために層ごとに割り当てをバッチ処理 |
| 時間的ウェッジ | 「生き残った」割り当てのみがコヒーレントなヒープに寄与する |
| 位相同期 | オーバーフロー着地に最適な位相で vsyslog をトリガー |
| エネルギー減衰 E(d) = E₀e^{-αd} | ヒープスプレーの強度が層ごとに減衰する |

---

## 動作の仕組み

### 1. 時間的ヒープスプレー

ブルートフォースによるスプレーではなく、割り当ては α 減衰で計算された遅延とともに 33 層にわたってバッチ処理されます:

### 2. 位相同期トリガー

エクスプロイトは、`__vsyslog_internal()` をトリガーする前に、最適な時間的位相 (α 高調波のゼロ交差) を待ちます。

### 3. オーバーフロー着地

割り当ての時間的構造がコヒーレントであるため、ヒープオーバーフローは予測可能なアドレスに着地します。

---

## 使用方法

```bash
# On vulnerable system (Debian 12, Ubuntu 23.04, Fedora 37-39)
git clone https://github.com/SimoesCTT/CTT-Vsyslog-Vortex
cd CTT-Vsyslog-Vortex
python3 ctt_vsyslog_exploit.py

// glibc-2.37/misc/syslog.c
void __vsyslog_internal(int pri, const char *fmt, va_list ap, int mode) {
    // Heap buffer allocation based on message length
    char *buf = malloc(len);
    // No bounds check on vsnprintf output
    vsnprintf(buf, len, fmt, ap);
    // Buffer overflow if fmt expands beyond len
}

1. Spray heap with 10,000 objects across 33 layers (α-timed)
2. Wait for phase lock (zero crossing of 60 Hz * α)
3. Send crafted syslog message with overflow payload
4. Overflow lands on predictable address
5. Shellcode executes → root shell

# Debian/Ubuntu
sudo apt update && sudo apt upgrade libc6

# Fedora
sudo dnf update glibc

# Run at your own risk. Authorized testing only.
python3 ctt_vsyslog_exploit.py