Relatório de análise de exploração de CVE do kernel Linux e ambiente de depuração relativo. Você não precisa mais compilar o kernel Linux e configurar seu ambiente.
Em constante atualização......
Relatório de análise de exploits de CVE do kernel Linux e ambiente de depuração relacionado. Você não precisa mais compilar o kernel Linux nem configurar seu ambiente.
Este repositório tem como objetivo extrair todos os exploits do kernel Linux e o ambiente de depuração relacionado. Você pode usar o Qemu para inicializar o kernel e testar o exploit.
john@john-virtual-machine:~/Desktop/kernel-exploit-factory/CVE-2017-11176$ ./start.sh chmod: /dev/csaw: No such file or directory ifconfig: SIOCSIFADDR: No such device route: SIOCADDRT: No such device / $ uname -a Linux (none) 4.11.9 #1 SMP Sat Feb 20 21:52:39 CST 2021 x86_64 GNU/Linux / $ id uid=1000(chal) gid=1000(chal) groups=1000(chal) / $ cd exp /exp $ ./exp-slab-4119 [] sk_rmem_alloc > sk_rcvbuf ==> ok [] mq_notify start [*] wake up thread 1 ... ... /exp # id uid=0(root) gid=0(root) /exp #
---
## Catalog
1. CVE-2015-8550
2. CVE-2016-9793
3. 4-20-BPF-integer
4. CVE-2017-5123
5. CVE-2017-6074
6. CVE-2017-7308
7. CVE-2017-8890
8. CVE-2017-11176
9. CVE-2017-16995
10. CVE-2017-1000112
11. CVE-2018-5333
12. CVE-2019-9213 & CVE-2019-8956
13. CVE-2019-15666
14. CVE-2020-8835
15. CVE-2020-27194
16. CVE-2021-3156
17. CVE-2021-31440
18. CVE-2021-3490
19. CVE-2021-22555
20. CVE-2021-41073
21. CVE-2021-4154
22. CVE-2021-42008
23. CVE-2021-43267
24. CVE-2022-0185
25. CVE-2022-0847
26. CVE-2022-0995
27. CVE-2022-1015
28. CVE-2022-2588
29. CVE-2022-2602
30. CVE-2022-2639
31. CVE-2022-25636
32. CVE-2022-27666
33. CVE-2022-32250
34. CVE-2022-34918
35. CVE-2023-2598
36. CVE-2024-1086
37. CVE-2025-21702
38. CVE-2026-23271
---
## Detail
#### 1. CVE-2015-8550
[writeup](https://blog.csdn.net/panhewu9919/article/details/100891770)
**Versão de teste**: Linux-4.19.65
**Proteção**: KASLR/SMEP ativados, SMAP desativado.
**Vulnerabilidade**: vulnerabilidade de **Double-Fetch** causada por otimização de compilação do gcc, permitindo diretamente o sequestro do fluxo de controle.
#### 2. CVE-2016-9793
[writeup](https://blog.csdn.net/panhewu9919/article/details/120164051)
**Versão de teste**: Linux-4.8.13
**Proteção**: KASLR/SMAP/SMEP desativados. A estrutura [skb_shared_info](https://elixir.bootlin.com/linux/v4.8.13/source/include/linux/skbuff.h#L414) falsificada está no espaço do usuário, obviamente não é possível contornar o SMAP.
**Vulnerabilidade**: a função [sock_setsockopt()](https://elixir.bootlin.com/linux/v4.8.13/source/net/core/sock.c#L658) em `net/core/sock.c` **trata incorretamente valores negativos**, fazendo com que `sk_sndbuf` e `sk_rcvbuf` assumam valores negativos. Ao chamar `write`, `skb->head` e `skb->end` são definidos incorretamente; ao chamar `close` para liberar, ocorre um erro ao acessar o espaço do usuário. A estrutura [skb_shared_info](https://elixir.bootlin.com/linux/v4.8.13/source/include/linux/skbuff.h#L414) é falsificada no endereço de espaço do usuário `0xfffffed0`, e o fluxo de controle é sequestrado por meio de `skb_shared_info->destructor_arg->callback`.
#### 3. 4-20-BPF-integer
[writeup](https://www.cnblogs.com/bsauce/p/11560224.html)
**Versão de teste**: Linux-4.20.0-rc3
**Proteção**: SMEP ativado, KASLR/SMAP desativados.
**Vulnerabilidade**: vulnerabilidade de **integer overflow** em `queue_stack_map_alloc()` no módulo eBPF do Linux, resultando em heap overflow. O ponteiro da vtable é modificado para sequestrar o fluxo de controle até `xchg eax, esp`.
#### 4. CVE-2017-5123
[writeup](https://www.jianshu.com/p/90a040114188)
**Versão de teste**: Linux 4.14-rc4
**Proteção**: SMEP/SMAP ativados, KASLR desativado.
**Vulnerabilidade**: a implementação de `waitid` em `/kernel/exit.c`, ao chamar `unsafe_put_user()` para copiar dados do kernel para um endereço do espaço do usuário, não chama `access_ok()` para verificar a validade do endereço do espaço do usuário, permitindo efetivamente copiar dados para endereços do espaço do kernel. **waitid não verifica a validade do endereço do usuário, resultando em escrita arbitrária null**. É possível executar shellcode no endereço 0 ou sobrescrever uma cred em um intervalo adivinhado para escalar privilégios.
#### 5. CVE-2017-6074
[writeup](https://bsauce.github.io/2021/09/17/CVE-2017-6074/) [reference](https://github.com/xairy/kernel-exploits/tree/master/CVE-2017-6074)
**Versão de teste**: Linux-4.9.12
**Proteção**: SMEP/SMAP ativados, kASLR desativado.
**Vulnerabilidade**: no DCCP (Datagram Congestion Control Protocol) do protocolo IP versão 6 do kernel Linux, a função [dccp_rcv_state_process()](https://elixir.bootlin.com/linux/v4.9.12/source/net/dccp/input.c#L574) em `net/dccp/input.c` trata incorretamente a estrutura de dados do pacote `DCCP_PKT_REQUEST` no estado `LISTEN`. Quando o usuário usa a opção `IPV6_RECVPKTINFO` para chamar `setsockopt()`, isso aciona um **Double-Free** da estrutura `sk_buff`. O método de exploração é semelhante ao CVE-2016-8655. Na primeira vez que a vulnerabilidade é acionada, o heap spray falsifica a estrutura `po->rx_ring->prb_bdqc->retire_blk_timer` para executar `native_write_cr4(0x406e0)` e desativar SMEP/SMAP; na segunda vez, o heap spray falsifica a estrutura `skb-> ... ->destructor_arg` para executar `commit_creds(prepare_kernel_cred(0))` e escalar privilégios.
#### 6. CVE-2017-7308
[writeup](https://www.jianshu.com/p/b53862cd64a6) [reference](https://github.com/xairy/kernel-exploits/tree/master/CVE-2017-7308)
**Versão de teste**: Linux-4.10.6
**Proteção**: SMEP/SMAP ativados, KASLR desativado.
**Vulnerabilidade**: a função [`packet_set_ring()`](https://elixir.bootlin.com/linux/v4.10.6/source/net/packet/af_packet.c#L4181) em `net/packet/af_packet.c` não verifica corretamente o tamanho dos blocos; a condição de verificação de comprimento está incorreta, resultando em **heap overflow**. É necessária a permissão `CAP_NET_RAW`. Os ponteiros de função são sequestrados duas vezes: primeiro desativando as proteções SMEP/SMAP e depois escalando privilégios.
#### 7. CVE-2017-8890
[writeup](https://www.jianshu.com/p/699de662f567) [reference](https://xz.aliyun.com/t/2383)
**Versão de teste**: Linux-4.10.15
**Proteção**: SMEP ativado, kASLR/SMAP desativados.
**Vulnerabilidade**: a função [`inet_csk_clone_lock()`](https://elixir.bootlin.com/linux/v4.10.15/source/net/ipv4/inet_connection_sock.c#L652) no arquivo `net/ipv4/inet_connection_sock.c` contém uma vulnerabilidade de **Double-Free**. O Double-Free é usado para adulterar o ponteiro de callback do RCU, desativar o SMEP e saltar para o shellcode para modificar a cred.
#### 8. CVE-2017-11176
[writeup](https://www.jianshu.com/p/76041ec5c59f)
**Versão de teste**: Linux-4.11.9
**Proteção**: SMEP ativado, kASLR/SMAP desativados.
**Vulnerabilidade**: na implementação das filas de mensagens POSIX no kernel Linux, a função `mq_notify()` não define o ponteiro sock como null, causando UAF. Na prática, é uma vulnerabilidade de **Double-Free causada por condição de corrida**, mas o tempo da corrida pode ser estendido indefinidamente.
#### 9. CVE-2017-16995
[writeup](https://www.cnblogs.com/bsauce/p/11583310.html)
**Versão de teste**: Linux-4.4.110
**Proteção**: SMEP/SMAP/kaslr ativados.
**Vulnerabilidade**: problema de **extensão de inteiros** no módulo eBPF do Linux. O principal problema é que os tipos de valores dos dois registradores são diferentes, fazendo com que a função de verificação e a função real sejam executadas de maneiras inconsistentes. Esta vulnerabilidade não envolve ataque de pilha ou sequestro de fluxo de controle; apenas utiliza dados de chamadas de sistema para escalar privilégios, sendo uma aplicação típica de Data-Oriented Attacks no kernel Linux.
#### 10. CVE-2017-1000112
[writeup](https://www.jianshu.com/p/1fa163fd5b82) [reference](https://bbs.pediy.com/thread-265319.htm)
**Versão de teste**: Linux-4.12.6