TUNderflow (CVE-2026-81000)

Writeup

[!WARNING] O PoC é fornecido exclusivamente para ajudar defensores, mantenedores e equipes de segurança autorizadas a validar patches, mitigações, detecções e exposição em sistemas que possuem ou para os quais têm autorização explícita de teste.

Você é o único responsável por garantir que seu uso deste material seja legal, autorizado, controlado e conduzido em um ambiente de teste isolado.

[!WARNING] Este PoC é destrutivo. Ele modifica /etc/pam.d/su sem qualquer rollback. Uma sobrescrita mal posicionada pode corromper memória do kernel não relacionada e travar/crashar a máquina.

Execute apenas em uma VM descartável/host descartável.

O PoC:

1. entra em um namespace privado de usuário/rede, cria dispositivos TUN e uma configuração OVS/netkit/VXLAN que propaga headroom de recepção superdimensionado
2. prepara (grooms) cabeçalhos skb de 4 KiB ao lado de anéis de pipe contendo um buffer de um byte respaldado por arquivo de /etc/pam.d/su
3. envia pacotes TUN candidatos cuja escrita fora dos limites do OVS pode definir PIPE_BUF_FLAG_CAN_MERGE em um pipe_buffer próximo, e
4. escreve pam_permit.so através do pipe, finalizando com su - root.

O PoC assume e tem como alvo x86-64 para manter as coisas simples. Em teoria, o bug não deve ser específico de arquitetura.

Requisitos

Enumerando exaustivamente para fins de completude:

• Fedora 44 Server com 6.19.10-300.fc44.x86_64, ou Ubuntu 24.04.4 com 6.17.0-40-generic (você pode tentar remover essas verificações, mas outras distros/versões de kernel podem exigir customização/grooming por alvo)
• Uma conta comum não-root, um /etc/pam.d/su não modificado contendo pam_rootok.so, e os módulos PAM pam_rootok.so e pam_permit.so
• CPU lógica 0 na máscara de afinidade do processo
• Criação de namespace de usuário/rede não privilegiado com CAP_NET_ADMIN dentro desse namespace
• Um /dev/net/tun acessível, além de suporte no kernel para TUN, Open vSwitch datapath, netkit e VXLAN
• Permissão para criar anéis de pipe de 256 KiB e capacidade para aproximadamente 800 descritores de arquivo abertos
• Diversas coisas de espaço de usuário (que as distros testadas no escopo devem em sua maioria ter por padrão): Python 3.10+, ip, unshare, true e , além de e o perfil carregado no Ubuntu caso direto seja negado

Ambos os alvos foram testados com 29 vCPUs com 4 GB e 32 GB de RAM, sendo o último mais confiável. Outras combinações de CPU/memória podem exigir mais grooming e podem redirecionar a sobrescrita para memória não relacionada.

Execute como um usuário não privilegiado com uma entrada em passwd.

Uso

python3 tunderflow_root_repro.py