Полная удаленная эксплуатация — эксплойт запускается с машины атакующего через DNS-over-QUIC, и обратная оболочка knot-resolver принимается на nc (нажмите для видео в полном разрешении):

Что такое Knot Resolver

Knot Resolver — это кэширующий рекурсивный DNS-резолвер с открытым исходным кодом, разработанный CZ.NIC (реестром .cz). Он разрешает DNS-запросы от имени клиентов — устройств конечных пользователей, флотов резолверов интернет-провайдеров и публичных служб резолверов — и кэширует ответы. Он поддерживает современные зашифрованные транспорты, включая DNS-over-TLS (DoT), DNS-over-HTTPS (DoH) и DNS-over-QUIC (DoQ), и включает проверку DNSSEC и агрессивное кэширование.

Он популярен в средах крупных интернет-провайдеров, где его богатые возможности (программируемая политика, DNSSEC, зашифрованные транспорты, детализированное кэширование) и высокая производительность делают его хорошо подходящим для обслуживания очень больших баз абонентов.

Демон (kresd) — это долгоживущий сетевой сервис, который напрямую подвергается недоверенному вводу от любого хоста, способного достичь его порта прослушивания. Это делает ошибку повреждения памяти в пути приема пакетов — подобную той, что эксплуатируется здесь — удаленно доступной поверхностью атаки без аутентификации: компрометация резолвера позволяет злоумышленнику подделывать DNS-ответы для каждого нижестоящего клиента, т.е. перенаправлять или перехватывать практически весь их трафик.

Коренная причина

kr_recv_stream_data_cb() собирает кадры DoQ STREAM во входной буфер для каждого соединения (pers_inbuf). Он увеличивает этот буфер с помощью

вместо установки размера на новое общее значение. На протяжении нескольких кадров отслеживаемый size дрейфует выше фактического выделения. Поэтому последний кадр, чей datalen помещается под завышенный size, пропускает перевыделение, но последующий memcpy() ограничивается этим завышенным размером — так он записывает за конец объекта. jemalloc удерживает объект привязанным к его реальному классу размера, поэтому лишние байты попадают в соседний слот slab.

Сводка по эксплуатации

Последовательность из шести кадров на одном потоке проводит pers_inbuf через пять классов размера jemalloc в класс 6144 байта, а затем переполняется в соседний слот:

Легковесное grooming соединений (открыть несколько DoQ-соединений, освободить половину непосредственно перед запуском) организует, чтобы slot+1 содержал обработчик очистки libgnutls. Переполнение перезаписывает указатель диспетчеризации этого обработчика, его аргумент и флаг, управляющий диспетчеризацией. Во время разрыва соединения libgnutls выполняет

давая контроль над указателем инструкции (RIP) и первым аргументом (RDI). PoC направляет это на system() с указателем на предоставленную атакующим строку команды, записанную в тот же слот.

Область: ASLR

Этот PoC нацелен на хост с отключенным ASLR (kernel.randomize_va_space = 0). При отключенной рандомизации адреса кучи и libc детерминированы, поэтому два адреса, необходимые эксплойту (slot+1 и system()), являются константами для данной сборки. Обход ASLR — это отдельная задача и намеренно выходит за рамки здесь — цель состоит в демонстрации примитива повреждение памяти → управление потоком → выполнение кода в изоляции.

Поскольку эти адреса детерминированы, утечка информации не требуется: эксплойт работает полностью по сети с удаленного хоста. Адреса восстанавливаются один раз с помощью шага probe (ниже) на любой идентичной сборке, а затем жестко закодированы; в эталонной сборке они равны slot+1 = 0x7ffff66c5000 и system = 0x7ffff746a490.

Содержимое

Требуется Python 3 с aioquic и netcat на стороне атакующего, а также gdb на цели только для одноразового шага probe.

Использование — удаленная обратная оболочка (без утечки информации)

Это основная демонстрация: эксплойт запускается с машины атакующего по сети с двумя жестко закодированными детерминированными адресами. Ничего не считывается с цели — ни /proc, ни gdb, ни журналы.

Каждый успешный раунд вызывает system() на цели с командой обратной оболочки; оболочка подключается обратно к --lhost:--lport, где nc принимает ее. Когда она появится, вводите команды в сессию netcat для управления оболочкой:

Значения --slot1 / --system восстанавливаются один раз с помощью шага probe на любой идентичной сборке; они являются константами при выключенном ASLR.

Восстановление адресов (одноразовый зонд)

Значения --slot1 / --system выше являются константами при выключенном ASLR; восстановите их один раз на любой идентичной сборке. Предварительное условие:

poc.py rip --rounds 8 дополнительно демонстрирует прямой контроль RIP/RDI (цель падает по указателю инструкции, выбранному атакующим).

Надежность

Измерено на эталонной сборке (Debian 12, 6.3.0-cznic.1, ASLR отключен):

Разрыв неизбежен: system() выполняется на куче, которую только что повредило переполнение, поэтому большинство диспетчеризаций приводят к сбою kresd до появления дочернего процесса. Демон перезапускается супервизором после каждого сбоя, адрес детерминирован при выключенном ASLR, и каждая попытка независима — поэтому цикл exec просто повторяет попытки, пока одна не сработает (в удаленном запуске выше оболочка появилась на 5-м раунде). Неудачная попытка — это временный сбой рабочего процесса (DoS). Параметры подготовки --groom 16 --close 8 --qpc 4 являются эмпирически лучшими значениями по умолчанию; более интенсивное закрытие (например, --close 16 при --groom 32) снижает процент попаданий.

Эталонная среда

Геометрия классов размера (шесть кадров, полезные нагрузки 1200/1440 байт) и смещение диспетчеризации libgnutls специфичны для этой сборки; для других сборок необходимо заново вывести размеры кадров и смещения.

График раскрытия

Раскрытие и лицензия

Сообщено вендору 2026-06-08 и опубликовано в координации с официальным исправлением (6.4.1, 2026-07-22). Предоставлено для авторизованного тестирования, защитной проверки и исследований. Не запускайте его против систем, которые вам не принадлежат или на тестирование которых у вас нет явного разрешения.

SPDX-License-Identifier: MIT