Аудитор CVE-2026-23111 (Linux Kernel nf_tables UAF)

Этот репозиторий содержит автоматизированный скрипт аудита на Bash, предназначенный для глубокой и точной оценки уязвимости CVE-2026-23111 в средах Linux.

---

🔍 Что такое уязвимость CVE-2026-23111?

CVE-2026-23111 — это уязвимость типа Use-After-Free (UAF), обнаруженная в подсистеме nf_tables ядра Linux (в целом затрагивающая версии разработки и стабильные версии до ветки 6.13).

Ошибка заключается в некорректном управлении памятью в логике активации захваченных элементов (nft_map_catchall_activate). Локальный злоумышленник с минимальными привилегиями может использовать эту ошибку для локального повышения привилегий (LPE) до root.

Векторы и требования для эксплуатации:

Для успешной эксплуатации в системе обычно должны одновременно присутствовать три фактора:

1. Уязвимое ядро: Ядро, содержащее неисправленную ошибку.
2. Активные User Namespaces: Позволяет непривилегированным пользователям клонировать пространство имён (CAP_NET_ADMIN) для прямого взаимодействия с nf_tables.
3. Включённый модуль: Модуль nf_tables должен быть загружен или доступен для автоматической загрузки операционной системой.

---

🛠️ Характеристики продвинутого скрипта

Этот скрипт на Bash выполняет детальный аудит, анализируя четыре критических уровня:

• Идентификация окружения: Извлекает точную версию ядра и дистрибутива.
• Анализ смягчения Namespaces: Проверяет параметры sysctl (unprivileged_userns_clone или max_user_namespaces), чтобы определить, заблокирован ли стандартный вектор входа эксплойта.
• Состояние сетевого модуля: Определяет, загружен ли nf_tables или существует ли правило блокировки (blacklist) в файлах конфигурации modprobe.d.
• Проверка сборки (CONFIG_X): Ищет и читает флаги компиляции работающего ядра (через /proc/config.gz или /boot/config-*) для проверки наличия CONFIG_USER_NS и CONFIG_NF_TABLES.

---

Выполнение: bash CVE-2026-23111-checker.sh