CVE-20250401 - 7350pipe - Linux Privilege Escalation 😆
*
Мисконфиг SUID на /usr/bin/passwd (зы: если ASLR и NX включены, скорее всего, просто так не запустится)
РАУНД 2

gcc -z execstack -fno-stack-protector exploit.c -o exploit
chmod +x exploit
./exploit

*

#include <stdio.h>
#include <string.h>
#include <sys/mman.h>
#include <unistd.h>

unsigned char shellcode[] = "\xb8\x01\x00\x00\x00\xbf\x01\x00\x00\x00\x48\x8d\x35\x81\x00\x00\x00\xba\x2d\x00\x00\x00\x0f\x05\xb8\x01\x00\x00\x00\xbf\x01\x00\x00\x00\x48\x8d\x35\x96\x00\x00\x00\xba\x43\x00\x00\x00\x0f\x05\xb8\x69\x00\x00\x00\x48\x31\xff\x0f\x05\xb8\x6a\x00\x00\x00\x48\x31\xff\x0f\x05\xb8\x01\x00\x00\x00\xbf\x01\x00\x00\x00\x48\x8d\x35\xad\x00\x00\x00\xba\x2c\x00\x00\x00\x0f\x05\xb8\x3b\x00\x00\x00\x48\x8d\x3d\xc6\x00\x00\x00\x48\x31\xf6\x48\x31\xd2\x0f\x05\xb8\x01\x00\x00\x00\xbf\x01\x00\x00\x00\x48\x8d\x35\xb5\x00\x00\x00\xba\x3c\x00\x00\x00\x0f\x05\xb8\x3c\x00\x00\x00\x48\x31\xff\x0f\x05\xf0\x9f\x94\xa5\x20\x49\x4e\x49\x54\x49\x41\x54\x49\x4e\x47\x20\x50\x52\x49\x56\x49\x4c\x45\x47\x45\x20\x45\x53\x43\x41\x4c\x41\x54\x49\x4f\x4e\x2e\x2e\x2e\x20\xf0\x9f\x94\xa5\x0a\x5b\x2b\x5d\x20\x46\x6f\x75\x6e\x64\x20\x53\x55\x49\x44\x20\x62\x69\x6e\x61\x72\x79\x3a\x20\x2f\x75\x73\x72\x2f\x62\x69\x6e\x2f\x70\x61\x73\x73\x77\x64\x20\x28\x72\x6f\x6f\x74\x20\x70\x72\x69\x76\x69\x6c\x65\x67\x65\x73\x20\x64\x65\x74\x65\x63\x74\x65\x64\x21\x29\x0a\x5b\x2b\x5d\x20\x45\x78\x70\x6c\x6f\x69\x74\x20\x73\x75\x63\x63\x65\x73\x73\x66\x75\x6c\x21\x20\x52\x6f\x6f\x74\x20\x73\x68\x65\x6c\x6c\x20\x73\x70\x61\x77\x6e\x65\x64\x21\x0a\x2f\x62\x69\x6e\x2f\x73\x68\x00\xf0\x9f\x98\x82\x20\x41\x50\x52\x49\x4c\x20\x46\x4f\x4f\x4c\x53\x21\x20\x59\x6f\x75\x20\x67\x6f\x74\x20\x70\x72\x61\x6e\x6b\x65\x64\x20\xe2\x80\x94\x20\x6e\x6f\x20\x72\x6f\x6f\x74\x20\x66\x6f\x72\x20\x79\x6f\x75\x21\x20\xf0\x9f\x98\x82\x0a";

int main() {
    void *exec = mmap(NULL, sizeof(shellcode), 
                      PROT_READ | PROT_WRITE | PROT_EXEC, 
                      MAP_ANON | MAP_PRIVATE, -1, 0);
    if (exec == MAP_FAILED) return 1;
    memcpy(exec, shellcode, sizeof(shellcode));
    ((void(*)())exec)();
    return 0;
}

Когда обновил все docker containers, а там все тот же XZ Utils backdoor


#include

Ubuntu 25.04 (ядро 6.14.11)
минимальный POC
What ?

#define _GNU_SOURCE
#include <sys/mman.h>
#include <fcntl.h>
#include <stdio.h>
#include <linux/falloc.h>
#include <err.h>
#include <pthread.h>

#define SYSCHK(x) ({            \
    typeof(x) __res = (x);      \
    if (__res == (typeof(x))-1) \
      err(1, "SYSCHK(" #x ")"); \
    __res;                      \
})

#define FALLOC_LEN 64 * 1024 * 1024 // Max on Ubuntu 25.04

pthread_barrier_t barrier;
int ffd;
char *fmap;

void hole_punch() {
    SYSCHK(ffd = open("/dev/shm/", O_TMPFILE | O_RDWR, 0666));
    SYSCHK(fallocate(ffd, 0, 0, FALLOC_LEN));
    SYSCHK(fmap = mmap(NULL, 0x1000, PROT_READ | PROT_WRITE, MAP_SHARED, ffd, 0));

    pthread_barrier_wait(&barrier); // barrier 1
    SYSCHK(fallocate(ffd, FALLOC_FL_PUNCH_HOLE | FALLOC_FL_KEEP_SIZE, 0, FALLOC_LEN));
}

int main(void) {
    pthread_barrier_init(&barrier, NULL, 2);

    pthread_t hole_punch_thread;
    SYSCHK(pthread_create(&hole_punch_thread, NULL, (void*)hole_punch, NULL));

    struct timespec start, end;
    pthread_barrier_wait(&barrier); // barrier 1

    clock_gettime(CLOCK_MONOTONIC, &start);
    volatile char dummy = *(char *)fmap; // Simulated kernel access during hole punch
    clock_gettime(CLOCK_MONOTONIC, &end);

    long long stall_ns = (end.tv_sec - start.tv_sec) * 1000000000LL + (end.tv_nsec - start.tv_nsec);

    printf("Stall time: %lld ns\n", stall_ns);
}

Linux System Call of the Day
*
Если достичь определенных ограничений ресурсов (например RLIMIT_NPROC) и программа не проверяет этот сбой, она тихо продолжит выполнение остального кода как root.
Hackers dream.
Man-страница прямо говорит: пропуск проверки return value — это большая ошибка безопасности.
Пример того как сервис дропает привилегии:

#define _GNU_SOURCE
#include <grp.h>
#include <stdio.h>
#include <unistd.h>

int main() {
    // Assume 33 is the UID/GID for www-data on Debian/Ubuntu
    uid_t target_uid = 33;
    gid_t target_gid = 33;

    printf("Running setup as root...\n");

    // Drop supplementary groups first, then GID, then UID.
    // Order matters: once UID is non-root, you can't fix groups.
    if (setgroups(0, NULL) == -1) {
        perror("setgroups");
        return 1;
    }
    if (setresgid(target_gid, target_gid, target_gid) == -1) {
        perror("setresgid");
        return 1;
    }
    if (setresuid(target_uid, target_uid, target_uid) == -1) {
        perror("setresuid");
        return 1;
    }

    printf("Privileges dropped successfully. Safe to handle requests!\n");

    // Prove we can't go back to root (UID 0)
    if (setresuid(0, 0, 0) == -1) {
        printf("Confirmed: Cannot restore root privileges.\n");
    }

    return 0;
}