Обход правил на основе системных вызовов connect() с помощью TCP Fast Open (PoC для CVE-2026-63828)

TCP Fast Open (TFO) — это метод инициализации TCP-соединения, при котором клиент может отправлять данные в самом начальном SYN-пакете, отправляемом серверу. Это хорошо для скорости, поскольку позволяет пропустить обмен сообщениями при начальном TCP-рукопожатии. В деталях реализации есть нюансы, если вы планируете использовать это в продакшене, но этот метод полезен для обхода некоторых механизмов правил, основанных на системных вызовах, поскольку это один из способов открытия TCP-соединений без явного использования системного вызова connect.

С точки зрения системных вызовов, обычное TCP-соединение в общем виде выглядит так:

socket() -> connect() -> write()/read()

Однако TFO-соединение инициализируется с помощью системного вызова sendto с флагом MSG_FASTOPEN:

socket() -> sendto(...,MSG_FASTOPEN,...) -> write()/read()

Я в некотором роде исследовал это как побочную задачу для другого проекта, над которым работал, но в ходе дальнейшего изучения TFO всплыл CVE-2026-63828 как (недавний) известный обход, специфичный для процессов с сетевыми ограничениями в AppArmor. Однако он применим не только к AppArmor, поэтому я решил опубликовать здесь базовый PoC.