Auditor CVE-2026-23111 (Linux Kernel nf_tables UAF)

Este repositório contém um script de auditoria automatizado em Bash projetado para avaliar de maneira profunda e precisa a vulnerabilidade CVE-2026-23111 em ambientes Linux.

---

🔍 O que é a vulnerabilidade CVE-2026-23111?

CVE-2026-23111 é uma vulnerabilidade do tipo Use-After-Free (UAF) descoberta no subsistema nf_tables do Kernel do Linux (afetando de maneira geral versões de desenvolvimento e estáveis anteriores à ramificação 6.13).

A falha reside em uma gestão incorreta de memória dentro da lógica de ativação de elementos capturados (nft_map_catchall_activate). Um atacante local com poucos privilégios pode aproveitar esta falha para conseguir uma Escalação Local de Privilégios (LPE) para root.

Vetores e Requisitos para Exploração:

Para que um exploit tenha sucesso em um sistema, normalmente devem coexistir três fatores simultaneamente:

1. Kernel afetado: Um kernel que inclua o bug sem correção.
2. User Namespaces ativos: Permite a usuários sem privilégios clonar um namespace (CAP_NET_ADMIN) para interagir diretamente com nf_tables.
3. Módulo habilitado: O módulo nf_tables deve estar carregado ou disponível para sua autocarga pelo sistema operacional.

---

🛠️ Características do Script Avançado

Este script de Bash realiza uma auditoria detalhada analisando quatro camadas críticas:

• Identificação do Ambiente: Extrai a versão exata do kernel e da distribuição.
• Análise de Mitigação de Namespaces: Inspeciona os parâmetros de sysctl (unprivileged_userns_clone ou max_user_namespaces) para verificar se o vetor de entrada do exploit comum está bloqueado.
• Estado do Módulo de Rede: Detecta se nf_tables está carregado ou se existe uma regra de bloqueio (blacklist) nos arquivos de configuração de modprobe.d.
• Inspeção de Compilação (CONFIG_X): Busca e lê as flags de compilação do kernel operacional (via /proc/config.gz ou /boot/config-*) para verificar a presença de CONFIG_USER_NS e CONFIG_NF_TABLES.

---

Execução: bash CVE-2026-23111-checker.sh