BAD_GARBAGE.c

CVE-2026-53361 — um use-after-free não privilegiado, com escape de contêiner, no coletor de lixo de sockets AF_UNIX. Esta é a versão de vetor único (somente MSG_PEEK).

O Bug

O GC AF_UNIX recupera sockets "in-flight" que formam ciclos de referência inalcançáveis. Um MSG_PEEK concorrente em um fd in-flight assume uma referência que o censo do GC nunca conta, então o coletor pode liberar um socket que ainda está vivo e deixar um sk_buff pendente. Espera-se que o peek recue enquanto uma coleta está em execução, mas a flag gc_in_progress que ele verifica pode ser lida como falsa no meio da execução, então o peek passa e a condição de corrida fica aberta.

A mesma interação, corrigida três vezes:

• CVE-2021-0920 — cbcf01128d0a "af_unix: fix garbage collect vs MSG_PEEK"
• CVE-2026-23394 — e5b31d988a41 "af_unix: Give up GC if MSG_PEEK intervened"
• CVE-2026-53361 — d82ba05263c6 "af_unix: Set gc_in_progress to true in unix_gc()"

Alvos

Vulnerável = afetado pelo bug. Atacado = coberto por este exploit (vetor único MSG_PEEK). Os kernels 7.x e o kernel Ubuntu 6.8 GA são vulneráveis, mas estão fora do escopo aqui.

Alguns Kernels Testados

Notas

• Contagem de CPUs — projetado para menos de 8 CPUs (2–7). Uma escolha, não uma peculiaridade de confiabilidade: a estratégia limpa de ordem N foi deixada de fora de propósito, não vale a pena expô-la para um bug de -1 dia.
• Blindagem de cache SLUB — a maior parte do código de blindagem/sombreamento de cache foi removida do PoC. A fase de vazamento de SID pode ocasionalmente colidir com um kmalloc() de baixa ordem espúrio ou com uma reutilização específica de PCP por cache (anon_vma, kmalloc-64 e afins); os buckets superiores são seguros, os caches dedicados e os buckets inferiores não são. Adicione sua própria blindagem para chegar perto de ~100%.