这个漏洞比较强，官方说明漏洞只会导致拒绝服务攻击，但实际上利用得当可以实现提权。影响范围3.x-5.x

漏洞成因，数组越界。需要插入用户定义的 index timer set。
XFRM_MSG_NEWSA请求的路径添加policy。

添加policy需要通过verify_newpolicy_info的认证。但漏洞版本认证缺陷。
https://duasynt.com/blog/ubuntu-centos-redhat-privesc

通过两次add_policy, 释放后会导致其中一个bin 释放不完全。

甚至在3.0版本中，根本没有检测。

伪造index = 4 , direction = 0; 将可以通过所有的认证。

触发越界位于 xfrm_policy_timer函数中。

4 & 7 = 4 ; [6]越界行为。 4 & 3 =0

步骤三 . XFRM_SPD_IPV4_HTHRESH executes the following function re-inserting existing policies in reverse order into the bydst
list:
大值意思是通过HTRESH刷新二次插入bydst。

However, the second policy with index 4 (4 & 7 = 4 is
now checked against XFRM POLICY MAX = 3 causing this policy to be skipped and not reinserted into the
bydst policy list.

setp 4: the request to flush policies frees the first policy in [9], leaving the second policy object in its own
disjoint state:

The pprev pointer in the second policy object still references the freed first policy. Hence, the next pointer
in the freed object gets overwritten with 0 (8-byte write) in [11].

期间，二次插入后效果如图，现在删除pol1。
next = pol1->next = NULL;
pprev = pol1->pprev = pol2;

*pprev = next ==> pol2->next = NULL;
next->pprev = pprev 没有操作。
最终：
pol2->pprev = pol1。pol2还引用这释放后的pol1值。 堆喷站位。

删除pol2
next = pol2->next =NULL
pprev = pol2->pprev =pol1

pprev = next ==> pol1->next = NULL
next->pprev = pprev ==> 没有操作；

那么我们就可以在二次分配的内存中写入八字节的0； 也就是改写struct xfrm_policy 结构体的 位于bydst的元素。

也就是说，如果我们控制了pol1->next的指针，就是一个地址写0的漏洞。

整个poc利用uffd监控缺页异常，并通过用户态对缺页进行填充。

本来有个setup_sandbox启用子命名空间，但是被注释掉了。
对缺页进行填充的数据居然不用填。堆喷后的uaf到底执行了什么。单从数据来看，什么也没传进去。
开始没明白，后来看了这个 https://xz.aliyun.com/t/2814
原来又是一个高端的堆喷技巧，userfaultfd setxattr 精确堆喷的技巧。

while true; do ./test && break; done

大致懂了，通过不断竞争，我们要实现的是在新建的进程的cred结构体中 任意ruid euid suid置零的操作，通过我们的置零uaf。但其实本身这并不是通常的uaf利用过程，而且能不能提权全靠运气，但是大部分情况还真能。不得不服。

cred 结构 usage 32位。uid_t 也是32位。也就是说到suid，刚好是12byte。而xfrm_policy到开始待bydst刚好也是12byte。神奇的是发生了，利用堆喷完成 超级多的 Small bin。而且这两结构体都在smallbin中。也就是说，提权的程序产生的新进程中的肯定会用到堆喷的small bin。当xfrm_policy发生uaf后，12byte的small bin刚好被重置位零，也就是suid变成了0。那么拥有suid = 0的进程就可以成功的利用seteuid, setresuid提权成功。至此全篇结束。

参考：
1.https://duasynt.com/blog/ubuntu-centos-redhat-privesc

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！