Linux LPE Toolkit

Мультиархитектурный набор инструментов для повышения привилегий с 24 эксплойтами (amd64 предварительно скомпилированы; остальные архитектуры компилируются через gcc во время выполнения). Поддерживает amd64, arm64, 386, mips, mipsle, mips64 и mips64le. Определяет версию ядра, отфильтровывает исправленные эксплойты и пробует каждый по порядку, пока не будет получен root.

Быстрый старт

# run directly (no gcc needed on target if pre-compiled binaries are embedded)
./lpe-toolkit

# dry-run: show exploit plan without executing
./lpe-toolkit --dry-run

# skip specific exploits
./lpe-toolkit --skip "dirtyfrag,dirtypipe"

# execute a command once root is achieved and show its output
./lpe-toolkit -c "id"

# silent automation: suppress all output except the command result
./lpe-toolkit -q -c "whoami"

# verbose output (includes exploit stdout/stderr)
./lpe-toolkit -v

Использование

Примечание: -v и -q взаимоисключающие — набор завершится с ошибкой, если указаны оба.

Эксплойты

Сборка из исходников

# native build (pre-compile C exploits then embed in Go binary)
make

# cross-compile for all architectures (native arch's C exploits only)
make build-all

# run directly from source (compile exploits on target at runtime)
make run-source

# clean build artifacts
make clean

Требования: Go 1.21+, gcc и кросс-компиляторы для целевых архитектур:

• arm64: aarch64-linux-gnu-gcc
• 386: i686-linux-gnu-gcc
• mips: mips-linux-gnu-gcc
• mipsle: mipsel-linux-gnu-gcc
• mips64: mips64-linux-gnuabi64-gcc
• mips64le: mips64el-linux-gnuabi64-gcc

Упаковка предварительно скомпилированных бинарников

Флаг --just-build определяет все пригодные эксплойты и выводит их пути. Используйте его, чтобы проверить, что будет доступно во время выполнения.

Архив предварительно скомпилированных бинарников для каждого релиза включает статически слинкованный Go-бинарник со встроенными C-эксплойтами. Все эксплойты предварительно скомпилированы для всех архитектур.

Архитектура

• toolkit.go: Основные определения эксплойтов, разбор версии ядра, поиск бинарников, обработчик злоупотребления sudo через GTFOBins, execCommandAsRoot() для неинтерактивного выполнения команд, вспомогательные функции уровня подробности msg()/say()
• main.go: Точка входа CLI с флагами (-c, -q, -v, --skip, --dry-run, --just-build) и обработкой сигналов
• build-exploits.sh: Скрипт кросс-компиляции C-эксплойтов
• exploits/: C-исходники и предварительно скомпилированные бинарники, встраиваемые через

Заметные изменения

• cve_2026_41651.c: Добавлен Pack2TheRoot — «сырой» D-Bus-клиент (без libdbus) гоняет флаги SIMULATE/NONE пакета PackageKit InstallFiles, чтобы вызвать выполнение postinst с правами root, и размещает setuid-root bash по пути /var/tmp/.suid_bash

• Исправлен parseKernelVersion: добавлен parseIntPrefix для обработки суффиксов -rcN при сравнении версий ядра

• bad_epoll.c переписан в соответствии с корректной архитектурой J-jaeyoung: две пары epoll, расширение IRQ через timerfd с 3000+ ожидающими, оракул глубины 3, атомарные операции acquire/release над разделяемыми переменными

• Все эксплойты (включая только-утечка/только-PoC) теперь запускают root-оболочку или выполняют запрошенную команду

• cve_2026_46333.c: Добавлен try_passwd_root() — похищает доступный для записи fd /etc/shadow у passwd, записывает известный хеш пароля, затем запускает su -; при неудаче использует методы только-утечки

• cve_2025_38352.c: Добавлена перезапись через в стиле dirtypipe → → запуск

Добавленные новые эксплойты

• peditcow.c (CVE-2026-46331): примитив записи в page-cache через tc-pedit перезаписывает ELF-запись su шеллкодом. v5.18–v7.1-rc6. Непривилегированный пользователь + сетевое пространство имён дают CAP_NET_ADMIN.
• dirtyclone.c (CVE-2026-43503): порт DirtyClone с Python на C. Цель netfilter ESP-in-UDP TEE повреждает /etc/passwd. Встроенная реализация AES-128-CBC. v7.1-rc1–rc4.
• bad_epoll.c (CVE-2026-46242): гонка close-vs-close Bad Epoll UAF. Зависит от цели: смещения по умолчанию рассчитаны на lts-6.12.67 (kernelCTF). Настройте определения OFF_* и PIVOT* под своё ядро. Требуется /proc/kallsyms (kptr_restrict=0). Запускайте на непропатченном ядре — исправление (коммит a6dc643c6931, добавляет ep_clear_and_put) было бэкпортировано во многие дистрибутивы, включая 6.8 HWE в Ubuntu 22.04.
• cve_2026_31694.c (CVE-2026-31694): OOB-запись в кэш readdir FUSE. Переполняет 24 байта на соседнюю страницу page-cache, чтобы сделать root в /etc/passwd без пароля. v6.15+. Требуется fusermount3.