🛠️ PinTheft — CVE-2026-43494

Локальное повышение привилегий в ядре Linux через RDS + io_uring: перезапись кэша страниц

📌 Обзор

PinTheft — это сложный локальный эксплойт для получения root-доступа, использующий уязвимость CVE-2026-43494, ошибку подсчёта ссылок в подсистеме Reliable Datagram Sockets (RDS) ядра Linux.

Сочетая double-free в пути zero-copy RDS с фиксированными буферами io_uring, эксплойт добивается надёжной перезаписи кэша страниц SUID-root-бинарников, что приводит к локальному повышению привилегий до root.

Небольшая ошибка бухгалтерского учёта в малоизвестном сетевом пути становится надёжным LPE в сочетании с современными возможностями io_uring.

🧪 Детали уязвимости

• Компонент: net/rds
• Триггер: Путь сбоя в rds_message_zcopy_from_user() → неверная обработка op_nents
• Корневая причина: Двойной put_page() после неудачного iov_iter_get_pages2()
• Воздействие: Непривилегированный локальный пользователь → root

Оценка CVSS: ~7.8 (Высокая)

🎯 Техника эксплойта ("PinTheft")

1. Закрепить целевую страницу с помощью io_uring REGISTER_BUFFERS (+1024 ссылок FOLL_PIN)
2. Клонировать буферы во второе кольцо + удерживать демоном (предотвращает открепление при закрытии)
3. Украсть все 1024 закрепления, используя повторяющиеся неудачные вызовы RDS zero-copy sendmsg
4. munmap() → чистое освобождение в PCP (LIFO)
5. Вызвать вытеснение из кэша страниц читаемого SUID-бинарника
6. Перезаписать вытесненную страницу с помощью IORING_OP_READ_FIXED через висячий struct page*
7. Выполнить модифицированный SUID-бинарник → root-оболочка

Обходы:

• CONFIG_INIT_ON_ALLOC_DEFAULT_ON
• проверки bad_page()
• открепление io_uring при уничтожении кольца

📋 Требования

• Ядро с включёнными CONFIG_RDS и CONFIG_RDS_TCP
• io_uring включён (kernel.io_uring_disabled=0)
• Ядро ≥ 6.13 (для оптимальной работы io_uring)
• Как минимум один читаемый SUID-root бинарник в системе
• Архитектура x86_64

По умолчанию не уязвимо в большинстве дистрибутивов (RDS редко включён).

🚀 Использование

# 1. Clone & Compile
git clone https://github.com/0xBlackash/CVE-2026-43494.git
cd CVE-2026-43494
gcc -O2 -static CVE-2026-43494.c -o pintheft

# 2. Run
sudo ./pintheft

📁 Файлы

• CVE-2026-43494.c — Полный исходный код эксплойта (PinTheft)
• README.md — Этот документ
• backup/ — Автоматические резервные копии перезаписанных SUID-бинарников

🛡️ Меры защиты

# Disable RDS
echo "install rds /bin/false" | sudo tee /etc/modprobe.d/disable-rds.conf
echo "install rds_tcp /bin/false" | sudo tee -a /etc/modprobe.d/disable-rds.conf
sudo modprobe -r rds_tcp rds

# Disable io_uring (if unused)
echo "kernel.io_uring_disabled=2" | sudo tee -a /etc/sysctl.conf
sudo sysctl -p

Обновите ядро, как только станут доступны патчи.

🔍 Проверка

# Check if vulnerable
modprobe -n rds_tcp && echo "RDS: Vulnerable"
cat /proc/sys/kernel/io_uring_disabled
uname -r

⚠️ Отказ от ответственности

• Этот эксплойт предназначен только для образовательного и авторизованного тестирования.
• Неправильное использование может дестабилизировать систему или привести к потере данных.
• Всегда тестируйте в изолированных виртуальных машинах.

📜 Благодарности

• Обнаружение и PoC: Ashraf Zaryouh "0xBlackash"
• Назначение CVE: MITRE
• Публичное раскрытие: 23 мая 2026 г.

Сделано с ❤️ для сообщества исследователей безопасности

Оставайтесь любопытными. Оставайтесь в безопасности.