SLEY — PinTheft PoC (CVE-2026-43494)

概念验证 — uid=1000(raken) → uid=0(root) 在 WSL2 (6.6.87.2-microsoft-standard-WSL2) 上执行 ./sley 后

针对 CVE-2026-43494（PinTheft）的单文件概念验证：一种 Linux 内核本地权限提升漏洞，它利用 RDS 零拷贝引用计数错误 与 io_uring 固定缓冲区 链式攻击，覆写 SUID-root 二进制文件的页面缓存。

免责声明： 本仓库仅限 授权的安全研究、教育和防御性测试。在未拥有或未经明确许可的系统上运行此程序是非法的、不道德的。作者对任何滥用行为不承担任何责任。

概述

原始公开研究和 PoC 由 V12 Security 团队 (Aaron Esau) 发布。SLEY 是一个独立、紧凑的重实现，带有风格化的终端 UI，适用于实验室使用和学习。

工作原理

flowchart LR
    A[mmap 匿名页面] --> B[io_uring: 注册固定缓冲区]
    B --> C[将缓冲区表克隆到第二个环]
    C --> D[1024× 失败的 RDS 零拷贝发送]
    D --> E[耗尽 FOLL_PIN 偏差 / 窃取引用]
    E --> F[munmap → 页面被释放]
    F --> G[SUID 二进制页面在页缓存中被回收]
    G --> H[陈旧的 io_uring 指针写入 ELF 存根]
    H --> I[exec SUID → root shell]

1. 侦查 — 绑定到 CPU 0，找到可读的 SUID 二进制文件（su、mount、passwd 等）。
2. io_uring 设置 — 将匿名页面注册为固定缓冲区（FOLL_PIN 偏差约 1024）。
3. 引脚盗窃 — 大量发送失败的 RDS 零拷贝；每次失败都可能对第一个固定页面多释放一个引用。
4. 回收与覆写 — 取消映射释放页面；重新打开 SUID 目标，与页缓存回收竞争；陈旧的固定缓冲区元数据允许将一个小型 x86_64 ELF 存根写入缓存。
5. 提权 — execve SUID 二进制文件以 root 身份运行注入的存根。

要求

内核 / 配置

• 存在该 RDS 漏洞的易受攻击（未修补）的 Linux 内核
• CONFIG_RDS=y 且 CONFIG_RDS_TCP=y
• CONFIG_IO_URING=y 且 kernel.io_uring_disabled = 0
• rds / rds_tcp 模块已加载（或非特权用户可自动加载）
• 内核 ≥ 6.13，以支持公开链使用的 IORING_REGISTER_CLONE_BUFFERS API
• x86_64，以便该 PoC 中嵌入的 shell ELF 负载能够运行

构建工具

sudo apt install build-essential linux-libc-dev   # Debian/Ubuntu
# 或您发行版上等效的头文件包

权限

• 在易受攻击的主机上，非特权本地用户就足够了（这是威胁模型）
• 请不要在生产系统上运行

检查暴露情况（只读）

# 已修补？ （示例 — 根据你的发行版调整）
uname -r
grep -r CVE-2026-43494 /usr/share/doc/linux* 2>/dev/null || true

# RDS 可用？
grep CONFIG_RDS /boot/config-$(uname -r) 2>/dev/null
lsmod | grep -E '^rds'

# io_uring 已启用？
cat /proc/sys/kernel/io_uring_disabled  # 期望为 0

构建

gcc -O2 -Wall -Wextra -o sley sley.c

静态链接（可选，适用于最小化实验室镜像）：

gcc -O2 -static -o sley sley.c

使用方法

./sley

所有状态输出均发送到 stderr（ANSI 256 色 UI、进度条、分阶段日志）。请确保您的终端支持 UTF-8 和 truecolor/256 色，以正确显示盒绘图 UI。

示例阶段：

PHASE 1 │ 侦查
PHASE 2 │ 内存与 io_uring 设置
PHASE 3 │ 引脚引用窃取（RDS 零拷贝）
PHASE 4 │ 页缓存覆写与提权

预期结果（易受攻击的主机）

在成功利用的配置上，链式攻击完成并移交到已覆写第一页的已发现 SUID 二进制文件——如果竞争条件和内核状态匹配，则产生一个 root shell。

对于已修补的内核、强化主机或缺少 RDS/io_uring 的情况，PoC 将提前失败（找不到 SUID 目标、mmap/io_uring/socket 错误等）。

缓解措施

特定于发行版的安全公告可能会带回移植的补丁——请跟踪您供应商的内核安全队列。

项目布局

.
├── README.md              # 本文件
├── proof-of-concept.jpg   # 截图：成功的 LPE (uid 1000 → root)
├── sley.c                 # 单文件 PoC + 终端 UI
└── .gitignore

参考资料

• NVD — CVE-2026-43494
• oss-security — PinTheft 讨论
• 内核修复提交

法律声明

本软件按 原样 提供，用于研究和教育。您有责任遵守适用法律，并在测试任何您不拥有的系统之前获取书面授权。

许可协议

MIT — 如有添加，请参见仓库中的许可文件。请负责任地使用。