CVE-2026-23111 — Linux Kernel nf_tables UAF → LPE

Um exploit funcional de escalonamento de privilégios local para CVE-2026-23111, um use-after-free no subsistema nf_tables do kernel Linux. Testado em linux-6.12.69 (x86-64).

Requisitos do alvo

O exploit assume um kernel alvo compilado com:

Os offsets em offsets.h são específicos para uma compilação de kernel — regenere-os para qualquer outro kernel

Estrutura do repositório

Compilação

Requer musl-gcc (sudo apt install musl-tools).

make          # builds exp + rootme (static ELFs)
make clean    # remove built binaries

Ambos os binários são estáticos para que rodem dentro de um initramfs busybox mínimo sem bibliotecas compartilhadas. exp espera rootme ao seu lado em /cve-2026-23111-poc/ no alvo.

Portando para outro kernel

offsets.h é gerado a partir de uma compilação específica. Para um vmlinux diferente:

make offsets SYSTEM_MAP=/path/to/System.map

gen_offsets.sh extrai símbolos (single_start, modprobe_path, init_ipc_ns, msleep, memcpy, …) e gadgets ROP, todos como offsets a partir da base do kernel. Você também precisará reverificar os offsets de struct embutidos em exp.c (layout de nft_chain, nft_expr_ops.validate, init_ipc_ns + 0x110, msg_queue.q_messages, xa_node.slots) com pahole / disassembly se seu kernel diferir significativamente do 6.12.x.

Aviso legal

Este código é publicado para pesquisa em segurança defensiva e educação. Ele tem como alvo uma VM de laboratório executando um kernel sabidamente vulnerável. Não o use contra sistemas que você não possui ou não está autorizado a testar. O autor não assume qualquer responsabilidade pelo uso indevido.