ptrace_may_dream

CVE-2026-46333

pidfd_getfd(2)의 ptrace_may_access() mm=NULL 경쟁 조건을 이용한 로컬 권한 상승 익스플로잇.

프로세스가 종료되는 동안 해당 mm이 이미 해제된 경우, 커널은 ptrace 접근 검사를 완전히 건너뜁니다. pidfd_getfd()를 프로세스 종료와 경쟁시켜, 권한이 없는 사용자가 권한 있는 프로세스의 열린 파일 디스크립터를 가로챌 수 있습니다.

이 익스플로잇은 accounts-daemon을 대상으로 합니다. (SetIconFile을 통해) 수명이 짧은 자식 프로세스를 트리거하여 데몬의 D-Bus 소켓 FD를 가로채는 경쟁에서 승리한 뒤, SetShell, SetAccountType, SetPassword 호출을 보내 호출 사용자를 비밀번호가 알려진 관리자 계정으로 승격시킵니다.

이 익스플로잇은 대상 사용자의 비밀번호를 하드코딩된 값으로 설정합니다. 빌드 전에 소스에서 수정하세요 :)

RHEL 10 및 Fedora 44, dbus-broker(D-Bus 소켓 FD 5)에서 테스트되었습니다.

빌드 및 사용법

make
./ptrace_may_dream [--retries N] [--nthreads N] [fd-slot]

"프로세스는 죽었지만, 프로세스 만세." - 커널, 아마도