SLEY — PinTheft PoC（CVE-2026-43494）

概念验证 — 在 WSL2（6.6.87.2-microsoft-standard-WSL2）上执行 ./sley 后 uid=1000(raken) → uid=0(root)

面向 CVE-2026-43494（PinTheft）的单文件概念验证：一种 Linux 内核本地权限提升漏洞，它将 RDS zerocopy 引用计数缺陷与 io_uring 固定缓冲区串联利用，以覆写 SUID root 二进制文件的页缓存。

免责声明： 本仓库仅用于经授权的安全研究、教学与防御性测试。在您不拥有或未获得明确测试许可的系统上运行此工具属非法且不道德行为。作者对滥用行为不承担任何责任。

概述

原始公开研究与 PoC 由 V12 Security 团队（Aaron Esau）发布。SLEY 是独立、紧凑的重新实现，带有精美的终端 UI，适用于实验室使用与学习。

工作原理

flowchart LR
    A[mmap anonymous page] --> B[io_uring: register fixed buffer]
    B --> C[Clone buffer table to 2nd ring]
    C --> D[1024× failing RDS zerocopy sends]
    D --> E[Drain FOLL_PIN bias / steal refs]
    E --> F[munmap → page freed]
    F --> G[SUID binary page reclaimed in page cache]
    G --> H[Stale io_uring ptr writes ELF stub]
    H --> I[exec SUID → root shell]

1. 侦察（Recon） — 固定到 CPU 0，定位一个可读的 SUID 二进制文件（su、mount、passwd 等）。
2. io_uring 设置 — 将匿名页注册为固定缓冲区（FOLL_PIN 偏差 ≈ 1024）。
3. 固定引用窃取（Pin theft） — 洪泛发送失败的 RDS zerocopy 请求；每次失败都可能在第一个已固定页面上额外释放一个引用。
4. 回收与覆写 — 解除映射后页面被释放；重新打开 SUID 目标与页缓存回收竞争；陈旧的固定缓冲区元数据允许向缓存中写入一个微小的 x86_64 ELF stub。
5. 提权 — execve 执行 SUID 二进制文件，以 root 身份运行注入的 stub。

环境要求

内核 / 配置

• 存在 RDS 漏洞的（未打补丁）Linux 内核
• CONFIG_RDS=y 且 CONFIG_RDS_TCP=y
• CONFIG_IO_URING=y 且 kernel.io_uring_disabled = 0
• 已加载 rds / rds_tcp 模块（或可由非特权用户自动加载）
• 公开利用链使用的 IORING_REGISTER_CLONE_BUFFERS API 需要内核 ≥ 6.13
• 本 PoC 内嵌的 shell ELF 载荷需要 x86_64 架构

构建工具

sudo apt install build-essential linux-libc-dev   # Debian/Ubuntu
# or equivalent headers package on your distro

权限要求

• 在存在漏洞的主机上，非特权本地用户即可（这正是威胁模型）
• 请勿在生产系统上运行

检查暴露面（只读）

# Patched? (example — adjust for your distro)
uname -r
grep -r CVE-2026-43494 /usr/share/doc/linux* 2>/dev/null || true

# RDS available?
grep CONFIG_RDS /boot/config-$(uname -r) 2>/dev/null
lsmod | grep -E '^rds'

# io_uring enabled?
cat /proc/sys/kernel/io_uring_disabled  # expect 0

构建

gcc -O2 -Wall -Wextra -o sley sley.c

静态链接（可选，适用于精简的实验室镜像）：

gcc -O2 -static -o sley sley.c

使用方法

./sley

所有状态输出均发送到 stderr（ANSI 256 色 UI、进度条、分阶段日志）。请确保终端支持 UTF-8 和真彩色/256 色，以便正确显示制表符绘图界面。

阶段示例：

PHASE 1 │ Reconnaissance
PHASE 2 │ Memory & io_uring setup
PHASE 3 │ Pin reference theft (RDS zerocopy)
PHASE 4 │ Page cache overwrite & privesc

预期结果（存在漏洞的主机）

在成功利用的配置下，利用链将完整执行并移交给首页已被覆写的 SUID 二进制文件——若竞态与内核状态条件契合，即可获得 root shell。

在已打补丁的内核、加固主机或缺少 RDS/io_uring 的环境下，PoC 会提前失败（找不到 SUID 目标、mmap/io_uring/socket 报错等）。

缓解措施

各发行版的安全公告可能会提供向后移植的补丁——请关注您所用厂商的内核安全更新队列。

项目结构

.
├── README.md              # This file
├── proof-of-concept.jpg   # Screenshot: successful LPE (uid 1000 → root)
├── sley.c                 # Single-file PoC + terminal UI
└── .gitignore

参考资料

• NVD — CVE-2026-43494
• oss-security — PinTheft 讨论
• 内核修复提交

法律声明

本软件按**原样（as-is）**提供，仅供研究与教育使用。您有责任遵守适用法律，并在测试任何非您所有的系统之前获得书面授权。

许可证

MIT — 如已添加，请参见仓库中的许可证文件。请负责任地使用。