Linux LPE Toolkit

Kit de escalada de privilégios multiarquitetura com 24 exploits (amd64 pré-compilado; outras arquiteturas compiladas via gcc em tempo de execução). Suporta amd64, arm64, 386, mips, mipsle, mips64 e mips64le. Detecta a versão do kernel, filtra exploits corrigidos e tenta cada um em ordem até obter root.

Início Rápido

# run directly (no gcc needed on target if pre-compiled binaries are embedded)
./lpe-toolkit

# dry-run: show exploit plan without executing
./lpe-toolkit --dry-run

# skip specific exploits
./lpe-toolkit --skip "dirtyfrag,dirtypipe"

# execute a command once root is achieved and show its output
./lpe-toolkit -c "id"

# silent automation: suppress all output except the command result
./lpe-toolkit -q -c "whoami"

# verbose output (includes exploit stdout/stderr)
./lpe-toolkit -v

Uso

Flag	Descrição
--dry-run	Mostra quais exploits estão disponíveis/ignorados
--just-build	Resolve todos os exploits, imprime os caminhos e sai (útil para empacotamento)
--skip LIST	Nomes de exploits separados por vírgula para ignorar
-c, --command CMD	Executa CMD como root em vez de abrir um shell interativo
-q, --quiet	Suprime as mensagens do toolkit; mostra apenas a saída do shell root ou unsuccessful in getting root
-v, --verbose	Inclui stdout/stderr do exploit na saída (mutuamente exclusivo com -q)

Nota: -v e -q são mutuamente exclusivos — o toolkit sai com erro se ambos forem especificados.

Exploits

#	Nome	Alvo	Tipo
1	Copy Fail CVE-2026-31431	AF_ALG + escrita de page-cache via splice	pré-compilado / compilar
2	Dirty Frag CVE-2026-43284	escrita de page-cache xfrm-ESP/RxRPC	pré-compilado / compilar
3	Fragnesia CVE-2026-46300	corrupção de page-cache via splice em espintcp	pré-compilado / compilar
4	DirtyDecrypt CVE-2026-31635	escrita de pagecache rxgk	pré-compilado / compilar
5	Fragnesia v2	coalescência GRO skb_segment	pré-compilado / compilar
6	PinTheft	sobrescrita de page-cache RDS zerocopy + io_uring	pré-compilado / compilar
7	Dirty Pipe CVE-2022-0847	sobrescrita de page-cache em /etc/passwd	pré-compilado / compilar
8	CIFSwitch CVE-2026-46243	confusão de namespace cifs.spnego + NSS	pré-compilado / compilar
9	PwnKit CVE-2021-4034	escape de ambiente do pkexec	pré-compilado / compilar
10	OverlayFS CVE-2021-3493	escape de montagem user-ns	pré-compilado / compilar
11	OvFS+FUSE CVE-2023-0386	escape de montagem FUSE	pré-compilado / compilar
12	Pack2TheRoot CVE-2026-41651	corrida D-Bus do PackageKit → setuid root	pré-compilado / compilar
13	Polkit D-Bus CVE-2021-3560	corrida do accounts-daemon	pré-compilado / compilar
14	Docker Socket	/var/run/docker.sock gravável	pré-compilado / compilar
15	netfilter OOB CVE-2021-22555	corrupção de ip_tables	pré-compilado / compilar
16	nft UAF2 CVE-2022-2586	UAF de cadeia nftables	pré-compilado / compilar
17	pidfd race CVE-2026-46333	roubo de FD ssh-keysign/shadow	pré-compilado / compilar
18	CPU Timer Race CVE-2025-38352	corrida de timer POSIX (PoC)	pré-compilado / compilar
19	nft UAF CVE-2024-1086	nftables multiarquivo Notselwyn	pré-compilado / compilar
20	PEdit COW CVE-2026-46331	sobrescrita de page-cache via tc-pedit em su	pré-compilado / compilar
21	DirtyClone CVE-2026-43503	ESP-in-UDP TEE page-cache passwd	pré-compilado / compilar
22	Bad Epoll CVE-2026-46242	UAF de corrida close-vs-close em epoll	pré-compilado / compilar
23	FUSE OOB CVE-2026-31694	FUSE readdir cache OOB -> passwd	pré-compilado / compilar
24	GTFOBins	mais de 80 técnicas de sudo sem senha	go-handler

Compilar a partir do Código-Fonte

# native build (pre-compile C exploits then embed in Go binary)
make

# cross-compile for all architectures (native arch's C exploits only)
make build-all

# run directly from source (compile exploits on target at runtime)
make run-source

# clean build artifacts
make clean

Requisitos: Go 1.21+, gcc e compiladores cruzados para as arquiteturas alvo:

• arm64: aarch64-linux-gnu-gcc
• 386: i686-linux-gnu-gcc
• mips: mips-linux-gnu-gcc
• mipsle: mipsel-linux-gnu-gcc
• mips64: mips64-linux-gnuabi64-gcc
• mips64le: mips64el-linux-gnuabi64-gcc

Empacotamento de Binário Pré-Compilado

A opção --just-build resolve todos os exploits utilizáveis e imprime os seus caminhos. Use-a para verificar o que estará disponível em tempo de execução.

O arquivo de binário pré-compilado de cada versão inclui um binário Go estaticamente vinculado com exploits C embutidos. Todos os exploits são pré-compilados para todas as arquiteturas.

Arquitetura

• toolkit.go: Definições principais de exploits, análise da versão do kernel, resolução de binários, manipulador de abuso de sudo do GTFOBins, execCommandAsRoot() para execução de comandos não interativa, auxiliares de verbosidade msg()/say()
• main.go: Ponto de entrada da CLI com opções (-c, -q, -v, --skip, --dry-run, --just-build) e tratamento de sinais
• build-exploits.sh: Script de compilação cruzada para exploits C
• exploits/: Arquivos-fonte C e binários pré-compilados embutidos via //go:embed

Mudanças Notáveis

• cve_2026_41651.c: Adicionado Pack2TheRoot — cliente D-Bus puro (sem libdbus) explora a corrida das opções SIMULATE/NONE do InstallFiles do PackageKit para acionar a execução de postinst com privilégios de root, cria um bash setuid-root em /var/tmp/.suid_bash

• parseKernelVersion corrigida: adicionado parseIntPrefix para lidar com sufixos -rcN ao comparar versões de kernel

• bad_epoll.c reescrito com a arquitetura correta J-jaeyoung: dois pares de epoll, ampliação de IRQ via timerfd com 3000+ waiters, oráculo de profundidade 3, atômicos acquire/release em variáveis compartilhadas

• Todos os exploits (incluindo apenas-leak/apenas-PoC) agora abrem um shell root ou executam o comando solicitado

• cve_2026_46333.c: Adicionado try_passwd_root() — rouba o fd gravável de /etc/shadow do passwd, grava um hash de senha conhecido e então executa su -; recorre a métodos apenas-leak

• cve_2025_38352.c: Adicionada sobrescrita estilo dirtypipe via splice() de /etc/passwd → root::0:0: → executa su -

• Modo de comando: Exploits de page-cache usam --corrupt-only para pular a ponte interativa PTY; execCommandAsRoot() envia o comando para o stdin do su para execução não interativa confiável

Novos Exploits Adicionados

• peditcow.c (CVE-2026-46331): a primitiva de escrita de page-cache do tc-pedit sobrescreve a entrada ELF do su com shellcode. v5.18–v7.1-rc6. Usuário não privilegiado + namespace de rede fornece CAP_NET_ADMIN.
• dirtyclone.c (CVE-2026-43503): porta em C do DirtyClone (originalmente em Python). O alvo netfilter TEE ESP-in-UDP corrompe /etc/passwd. Implementação autossuficiente de AES-128-CBC. v7.1-rc1–rc4.
• bad_epoll.c (CVE-2026-46242): UAF de corrida close-vs-close do Bad Epoll. Específico do alvo: os offsets padrão visam lts-6.12.67 (kernelCTF). Personalize as definições OFF_* e PIVOT* para o seu kernel. Requer /proc/kallsyms (kptr_restrict=0). Execute em um kernel sem patch — a correção (commit a6dc643c6931, adiciona ep_clear_and_put) foi backportada para muitas distros, incluindo o HWE 6.8 do Ubuntu 22.04.
• cve_2026_31694.c (CVE-2026-31694): escrita OOB no cache readdir do FUSE. Estoura 24 bytes na página adjacente de page-cache para tornar o root sem senha em /etc/passwd. v6.15+. Requer fusermount3.