DiagSpill (CVE-2026-74469)

Writeup

[!WARNING] 이 PoC는 방어자, 유지보수자, 그리고 권한을 부여받은 보안 팀이 자신이 소유하거나 명시적으로 테스트 권한을 받은 시스템에서 패치, 완화 조치, 탐지, 노출 여부를 검증할 수 있도록 돕기 위한 목적으로만 제공됩니다.

이 자료의 사용이 합법적이고, 권한을 부여받았으며, 통제된 환경에서 격리된 테스트 환경에서 수행되도록 보장하는 것은 전적으로 귀하의 책임입니다.

[!WARNING] 이 PoC는 파괴적입니다. 이는 약 8 MiB의 커널 메모리를 덮어쓰고, diagspill_hold 희생 메모리 홀더가 재부팅 전까지 손상된 페이지 테이블을 계속 보유하도록 남깁니다. 해당 프로세스를 종료하면 커널이 불안정해질 수 있습니다.

관련 없는 메모리가 손상될 수 있으며 머신이 패닉에 빠질 수 있습니다. 일회용 VM/임시 호스트에서만 실행하십시오.

PoC는 다음을 수행합니다:

1. 내장된 C 익스플로잇을 컴파일하고 (아래 작업을 수행함)
2. SCTP 진단 응답 skb를 대형 페이지 테이블 저장소 옆에 배치하고 2,048개의 자격 증명 워커 프로세스를 시작합니다
3. 81,920개의 피어 트랜스포트를 가진 SCTP 연관을 생성합니다. 이때 16비트 카운트는 16,384이며, 그런 다음 sock_diag에 16,384개의 피어에 맞는 크기의 응답을 요청하지만 복사 루프는 81,920개 전부를 기록합니다
4. 덮어쓴 PMD 엔트리를 물리 RAM에 대한 사용자 읽기 및 쓰기 가능 매핑으로 변환한 다음, 워커들의 라이브 자격 증명을 스캔하고,
5. 워커의 UID/GID 필드를 0으로 만들고, 그 워커를 사용해 임시 sudoers 규칙을 설치하고, sudo를 통해 루트 셸을 열고, 손상된 매핑을 보유한 프로세스를 분리합니다.

PoC는 단순함을 유지하기 위해 x86-64를 가정하고 대상으로 합니다. 이론적으로 이 버그는 아키텍처에 특정되지 않아야 합니다.

요구 사항

완전성을 위해 빠짐없이 열거합니다:

• 6.17.0-35-generic이 설치된 Ubuntu 24.04, 또는 6.19.10-300.fc44.x86_64가 설치된 Fedora 44 (이 검사를 제거해 볼 수는 있지만, 다른 배포판/커널 버전은 대상별 사용자 정의/그루밍이 필요할 수 있음)
• 4 KiB 페이지를 사용하는 x86-64, 정확히 4개의 온라인 논리 CPU, 프로세스 선호도 마스크에 CPU 0-3 포함, 그리고 MemTotal이 3,700,000에서 4,200,000 KiB 사이
• 실제, 유효, 저장 UID/GID 값이 일치하는 일반 계정
• 문자, 숫자, _, 또는 -만 포함하는 계정 이름
• /root에 대한 기존 읽기 접근 권한이나 비밀번호 없는 sudo가 없음
• SCTP 및 sctp_diag 커널 지원, 투명 대형 페이지 할당, 2,048개 워커와 진단 소켓 월을 위한 충분한 프로세스/파일 제한, 그리고 Ubuntu에서 약 2,343 MiB 또는 Fedora에서 3,125 MiB의 페이지 테이블을 유지할 충분한 x86-64 주소 공간과 메모리
• 작동하는 /etc/sudoers.d 포함 및 실행 가능한 /usr/bin/sudo
• 기타 사용자 공간 요소 (범위 내 테스트된 배포판에는 대부분 기본적으로 있을 것임): Python 3.9+, /usr/bin/env, libc 및 Linux UAPI 개발 헤더가 있는 cc, id, sudo, true, sh, rm

PoC는 vCPU 수/RAM에 매우 민감하므로 4 vCPU와 4 GB RAM을 강제합니다. 다른 vCPU/메모리 조합에는 대상별 사용자 정의/그루밍이 필요할 가능성이 높습니다.

passwd 항목이 있는 비특권 사용자로 실행하십시오. PoC는 대형 SCTP 연관을 구축하는 데 시간이 다소 걸릴 수 있습니다.

사용법

python3 diagspill_root_repro.py

실행 후 (성공 여부와 관계없이) 안전을 위해 머신을 재부팅하여 diagspill_hold를 해제하십시오. 직접 종료하면 커널이 거의 확실히 불안정해집니다.