TUNderflow (CVE-2026-81000)

Writeup

[!WARNING] 이 PoC는 방어자, 유지보수자, 그리고 권한을 부여받은 보안 팀이 자신이 소유하거나 명시적으로 테스트 권한을 부여받은 시스템에서 패치, 완화 조치, 탐지, 노출 여부를 검증할 수 있도록 돕기 위한 목적으로만 제공됩니다.

이 자료의 사용이 합법적이고, 권한을 부여받았으며, 통제된 환경에서, 격리된 테스트 환경에서 이루어지도록 보장하는 것은 전적으로 사용자의 책임입니다.

[!WARNING] 이 PoC는 파괴적입니다. 이 PoC는 /etc/pam.d/su를 어떠한 롤백도 없이 수정합니다. 잘못된 위치에 덮어쓰기를 하면 관련 없는 커널 메모리를 손상시키고 머신을 멈추거나 충돌시킬 수 있습니다.

일회용 VM/임시 호스트에서만 실행하십시오.

PoC의 동작:

1. 프라이빗 user/network 네임스페이스에 진입하여 TUN 디바이스와, 과도하게 큰 receive headroom을 전파하는 OVS/netkit/VXLAN 구성을 생성합니다
2. /etc/pam.d/su의 1바이트 파일 기반 버퍼를 담은 pipe ring 옆에 4 KiB skb head를 groom합니다
3. 경계를 벗어난 OVS 쓰기가 인접한 pipe_buffer에 PIPE_BUF_FLAG_CAN_MERGE를 설정할 수 있는 후보 TUN 패킷을 전송하고,
4. 파이프를 통해 pam_permit.so를 기록한 뒤 su - root로 마무리합니다.

이 PoC는 단순함을 유지하기 위해 x86-64를 가정하고 대상으로 합니다. 이론적으로 이 버그는 아키텍처에 특화된 것이 아닙니다.

요구 사항

완전성을 위해 빠짐없이 열거합니다:

• 6.19.10-300.fc44.x86_64가 설치된 Fedora 44 Server, 또는 6.17.0-40-generic이 설치된 Ubuntu 24.04.4 (이 검사들을 제거해 볼 수는 있지만, 다른 배포판/커널 버전은 대상별 맞춤 설정/grooming이 필요할 수 있습니다)
• 일반 비루트 계정, pam_rootok.so를 포함하는 수정되지 않은 /etc/pam.d/su, 그리고 pam_rootok.so 및 pam_permit.so PAM 모듈
• 프로세스 선호도 마스크에 논리 CPU 0 포함
• 해당 네임스페이스 내부에서 CAP_NET_ADMIN을 가진 비특권 user/network 네임스페이스 생성
• 접근 가능한 /dev/net/tun, 그리고 TUN, Open vSwitch datapath, netkit, VXLAN 커널 지원
• 256 KiB pipe ring을 생성할 권한과 약 800개의 열린 파일 디스크립터를 위한 용량
• 기타 사용자 공간 요소(범위 내 테스트된 배포판에는 대부분 기본으로 갖춰져 있을 것입니다): Python 3.10+, ip, unshare, true, su, 그리고 직접적인 unshare -Urn이 거부될 경우 Ubuntu에서 와 로드된 프로파일

두 대상 모두 4 GB 및 32 GB RAM에서 29 vCPU로 테스트되었으며, 후자가 더 안정적이었습니다. 다른 CPU/메모리 조합은 더 많은 grooming이 필요할 수 있고 덮어쓰기가 관련 없는 메모리로 향할 수 있습니다.

passwd 항목이 있는 비특권 사용자로 실행하십시오.

사용법

python3 tunderflow_root_repro.py