DiagSpill (CVE-2026-74469)

Writeup

[!WARNING] O PoC é fornecido exclusivamente para ajudar defensores, mantenedores e equipes de segurança autorizadas a validar patches, mitigações, detecções e exposição em sistemas que possuem ou que estão explicitamente autorizados a testar.

Você é o único responsável por garantir que seu uso deste material seja lícito, autorizado, controlado e conduzido em um ambiente de teste isolado.

[!WARNING] Este PoC é destrutivo. Ele sobrescreve aproximadamente 8 MiB de memória do kernel e deixa tabelas de páginas corrompidas mantidas pelo detentor de memória sacrificial diagspill_hold até a reinicialização. Matar esse processo pode desestabilizar o kernel.

Memória não relacionada pode ser corrompida e a máquina pode entrar em pânico. Execute apenas em uma VM descartável/host descartável.

O PoC:

1. compila o exploit em C embutido (que faz o descrito abaixo)
2. posiciona skbs de resposta de diagnóstico SCTP ao lado de um grande reservatório de tabelas de páginas e inicia 2.048 processos trabalhadores de credenciais
3. cria uma associação SCTP com 81.920 transportes pares, cuja contagem de 16 bits é 16.384, e então solicita ao sock_diag uma resposta dimensionada para 16.384 pares enquanto o loop de cópia escreve todos os 81.920
4. transforma entradas PMD sobrescritas em mapeamentos de RAM física legíveis e graváveis pelo usuário, então os examina em busca das credenciais ativas dos trabalhadores, e
5. zera os campos UID/GID de um trabalhador, usa esse trabalhador para instalar uma regra temporária de sudoers, abre um shell root através do sudo e desanexa o processo que mantém os mapeamentos corrompidos.

O PoC assume e tem como alvo x86-64 para manter as coisas simples. Em teoria, o bug não deve ser específico de arquitetura.

Requisitos

Enumerando exaustivamente para completude:

• Ubuntu 24.04 com 6.17.0-35-generic, ou Fedora 44 com 6.19.10-300.fc44.x86_64 (você pode tentar remover essas verificações, mas outras distros/versões de kernel podem exigir customização/grooming por alvo)
• x86-64 com páginas de 4 KiB, exatamente quatro CPUs lógicas online, CPUs 0-3 na máscara de afinidade do processo, e MemTotal entre 3.700.000 e 4.200.000 KiB
• Uma conta comum cujos valores reais, efetivos e salvos de UID/GID coincidam
• Um nome de conta contendo apenas letras, dígitos, _ ou -
• Sem acesso de leitura pré-existente a /root ou sudo sem senha
• Suporte de kernel a SCTP e sctp_diag, alocação de transparent huge pages, limites suficientes de processo/arquivo para 2.048 trabalhadores e o muro de sockets de diagnóstico, e espaço de endereçamento x86-64 e memória suficientes para reter cerca de 2.343 MiB de tabelas de páginas no Ubuntu ou 3.125 MiB no Fedora
• Um include funcional de /etc/sudoers.d e um /usr/bin/sudo executável
• Diversas coisas de espaço de usuário (que as distros testadas no escopo devem ter majoritariamente por padrão): Python 3.9+, /usr/bin/env, com libc e headers de desenvolvimento do Linux UAPI, , , , e

O PoC é muito sensível à contagem de vCPUs/RAM, então ele impõe 4 vCPUs e 4 GB de RAM. Você provavelmente precisará de customização/grooming por alvo para outras combinações de vCPU/memória.

Execute-o como um usuário sem privilégios com uma entrada em passwd; o PoC pode levar um pouco de tempo para construir a grande associação SCTP.

Uso

python3 diagspill_root_repro.py

Após uma execução (bem-sucedida ou não), reinicie a máquina para liberar o diagspill_hold por segurança. Se você matá-lo diretamente, quase certamente desestabilizará o kernel.