TUNderflow (CVE-2026-81000)

Разбор

[!WARNING] PoC предоставлен исключительно для того, чтобы помочь защитникам, мейнтейнерам и авторизованным командам безопасности проверить патчи, меры защиты, детектирование и подверженность на системах, которыми они владеют или которые им явно разрешено тестировать.

Вы несёте исключительную ответственность за то, чтобы использование этого материала было законным, авторизованным, контролируемым и проводилось в изолированной тестовой среде.

[!WARNING] Этот PoC деструктивен. Он изменяет /etc/pam.d/su без какого-либо отката. Ошибочная перезапись может повредить несвязанную память ядра и привести к зависанию или падению машины.

Запускайте только в одноразовой ВМ или на временном хосте.

PoC:

1. входит в приватное пользовательское/сетевое пространство имён, создаёт TUN-устройства и конфигурацию OVS/netkit/VXLAN, которая распространяет увеличенный приёмный headroom
2. подготавливает 4 KiB skb-заголовки рядом с pipe-кольцами, содержащими однобайтовый буфер, привязанный к файлу /etc/pam.d/su
3. отправляет подходящие TUN-пакеты, чья запись за границами в OVS может установить PIPE_BUF_FLAG_CAN_MERGE в соседнем pipe_buffer, и
4. записывает pam_permit.so через pipe, завершая всё командой su - root.

PoC рассчитан и нацелен на x86-64, чтобы всё было проще. Теоретически баг не должен быть архитектурно-зависимым.

Требования

Для полноты перечисляем исчерпывающе:

• Fedora 44 Server с 6.19.10-300.fc44.x86_64 или Ubuntu 24.04.4 с 6.17.0-40-generic (можно попробовать убрать эти проверки, но другие дистрибутивы/версии ядра могут потребовать настройки/подготовки под конкретную цель)
• Обычная непривилегированная учётная запись, неизменённый /etc/pam.d/su, содержащий pam_rootok.so, и PAM-модули pam_rootok.so и pam_permit.so
• Логический CPU 0 в маске привязки процесса
• Создание непривилегированного пользовательского/сетевого пространства имён с CAP_NET_ADMIN внутри этого пространства имён
• Доступный /dev/net/tun, а также поддержка в ядре TUN, Open vSwitch datapath, netkit и VXLAN
• Разрешение на создание pipe-колец размером 256 KiB и запас примерно на 800 открытых файловых дескрипторов
• Разное в userspace (что в протестированных дистрибутивах из области охвата должно в основном быть по умолчанию): Python 3.10+, ip, unshare, true и , а также и загруженный профиль в Ubuntu, если прямой запрещён

Обе цели тестировались с 29 vCPU при 4 GB и 32 GB RAM, причём последний вариант надёжнее. Другие комбинации CPU/памяти могут потребовать более тщательной подготовки и могут перенаправить перезапись в несвязанную память.

Запускайте от имени непривилегированного пользователя с записью в passwd.

Использование

python3 tunderflow_root_repro.py