DiagSpill (CVE-2026-74469)

Разбор

[!WARNING] PoC предоставлен исключительно для того, чтобы помочь защитникам, мейнтейнерам и авторизованным командам безопасности проверить патчи, меры защиты, детектирование и подверженность на системах, которыми они владеют или которые им явно разрешено тестировать.

Вы несёте полную ответственность за то, чтобы использование этого материала было законным, авторизованным, контролируемым и проводилось в изолированной тестовой среде.

[!WARNING] Этот PoC деструктивен. Он перезаписывает примерно 8 МиБ памяти ядра и оставляет повреждённые таблицы страниц, удерживаемые держателем жертвенной памяти diagspill_hold, до перезагрузки. Убийство этого процесса может дестабилизировать ядро.

Несвязанная память может быть повреждена, и машина может уйти в панику. Запускайте только в одноразовой ВМ/временном хосте.

PoC:

1. компилирует встроенный C-эксплойт (который делает описанное ниже)
2. размещает skb диагностических ответов SCTP рядом с большим резервуаром таблиц страниц и запускает 2 048 процессов-воркеров для работы с учётными данными
3. создаёт SCTP-ассоциацию с 81 920 транспортами пиров, чьё 16-битное количество равно 16 384, затем запрашивает у sock_diag ответ размером для 16 384 пиров, в то время как цикл копирования записывает все 81 920
4. превращает перезаписанные записи PMD в доступные для чтения и записи пользователем отображения физической RAM, затем сканирует их в поисках живых учётных данных воркеров, и
5. обнуляет поля UID/GID воркера, использует этого воркера для установки временного правила sudoers, открывает root-шелл через sudo и отсоединяет процесс, удерживающий повреждённые отображения.

PoC предполагает и нацелен на x86-64, чтобы всё было проще. Теоретически баг не должен быть архитектурно-специфичным.

Требования

Перечисляем исчерпывающе для полноты:

• Ubuntu 24.04 с 6.17.0-35-generic или Fedora 44 с 6.19.10-300.fc44.x86_64 (можно попробовать убрать эти проверки, но другие дистрибутивы/версии ядра могут потребовать настройки/подготовки под конкретную цель)
• x86-64 со страницами 4 КиБ, ровно четырьмя онлайн-логическими CPU, CPU 0-3 в маске привязки процесса и MemTotal между 3 700 000 и 4 200 000 КиБ
• Обычная учётная запись, у которой значения real, effective и saved UID/GID совпадают
• Имя учётной записи, содержащее только буквы, цифры, _ или -
• Отсутствие предварительного доступа на чтение к /root или sudo без пароля
• Поддержка SCTP и sctp_diag в ядре, выделение прозрачных огромных страниц, достаточные лимиты процессов/файлов для 2 048 воркеров и стены диагностических сокетов, а также достаточное адресное пространство x86-64 и память для удержания около 2 343 МиБ таблиц страниц на Ubuntu или 3 125 МиБ на Fedora
• Работающий include /etc/sudoers.d и исполняемый /usr/bin/sudo
• Разные вещи в userspace (которые у протестированных дистрибутивов в области охвата должны в основном быть по умолчанию): Python 3.9+, /usr/bin/env, с заголовками разработки libc и Linux UAPI, , , , и

PoC очень чувствителен к количеству vCPU и объёму RAM, поэтому он требует 4 vCPU и 4 ГБ RAM. Для других комбинаций vCPU/памяти, скорее всего, потребуется настройка/подготовка под конкретную цель.

Запускайте его как непривилегированный пользователь с записью в passwd; PoC может занять некоторое время на построение большой SCTP-ассоциации.

Использование

python3 diagspill_root_repro.py

После запуска (успешного или нет) перезагрузите машину, чтобы освободить diagspill_hold, для безопасности. Если вы убьёте его напрямую, вы почти наверняка дестабилизируете ядро.