Exploit for lpe-toolkit

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-PORTBUSTER1337-LPE-TOOLKIT
# Linux LPE Toolkit

Мультиархитектурный набор инструментов для повышения привилегий с 24 эксплойтами (amd64 предварительно скомпилированы; остальные архитектуры компилируются через gcc во время выполнения). Поддерживает amd64, arm64, 386, mips, mipsle, mips64 и mips64le. Определяет версию ядра, отфильтровывает исправленные эксплойты и пробует каждый по порядку, пока не будет получен root.

## Быстрый старт

root@kitploit:~
    
    
    # run directly (no gcc needed on target if pre-compiled binaries are embedded)
    ./lpe-toolkit
    
    # dry-run: show exploit plan without executing
    ./lpe-toolkit --dry-run
    
    # skip specific exploits
    ./lpe-toolkit --skip "dirtyfrag,dirtypipe"
    
    # execute a command once root is achieved and show its output
    ./lpe-toolkit -c "id"
    
    # silent automation: suppress all output except the command result
    ./lpe-toolkit -q -c "whoami"
    
    # verbose output (includes exploit stdout/stderr)
    ./lpe-toolkit -v
    

## Использование

Флаг| Описание  
---|---  
`--dry-run`| Показать, какие эксплойты доступны/пропущены  
`--just-build`| Разрешить все эксплойты, вывести пути, выйти (полезно для упаковки)  
`--skip LIST`| Список имён эксплойтов через запятую для пропуска  
`-c`, `--command CMD`| Выполнить CMD от root вместо запуска интерактивной оболочки  
`-q`, `--quiet`| Скрыть сообщения набора; показывать только вывод root-оболочки или `unsuccessful in getting root`  
`-v`, `--verbose`| Включать stdout/stderr эксплойтов в вывод (взаимоисключающе с `-q`)  
  
**Примечание:** `-v` и `-q` взаимоисключающие — набор завершится с ошибкой, если указаны оба.

## Эксплойты

## Сборка из исходников

root@kitploit:~
    
    
    # native build (pre-compile C exploits then embed in Go binary)
    make
    
    # cross-compile for all architectures (native arch's C exploits only)
    make build-all
    
    # run directly from source (compile exploits on target at runtime)
    make run-source
    
    # clean build artifacts
    make clean
    

Требования: Go 1.21+, gcc и кросс-компиляторы для целевых архитектур:

  * **arm64** : `aarch64-linux-gnu-gcc`
  * **386** : `i686-linux-gnu-gcc`
  * **mips** : `mips-linux-gnu-gcc`
  * **mipsle** : `mipsel-linux-gnu-gcc`
  * **mips64** : `mips64-linux-gnuabi64-gcc`
  * **mips64le** : `mips64el-linux-gnuabi64-gcc`



## Упаковка предварительно скомпилированных бинарников

Флаг `--just-build` определяет все пригодные эксплойты и выводит их пути. Используйте его, чтобы проверить, что будет доступно во время выполнения.

Архив предварительно скомпилированных бинарников для каждого релиза включает статически слинкованный Go-бинарник со встроенными C-эксплойтами. Все эксплойты предварительно скомпилированы для всех архитектур.

## Архитектура

  * **`toolkit.go`** : Основные определения эксплойтов, разбор версии ядра, поиск бинарников, обработчик злоупотребления sudo через GTFOBins, `execCommandAsRoot()` для неинтерактивного выполнения команд, вспомогательные функции уровня подробности `msg()`/`say()`
  * **`main.go`** : Точка входа CLI с флагами (`-c`, `-q`, `-v`, `--skip`, `--dry-run`, `--just-build`) и обработкой сигналов
  * **`build-exploits.sh`** : Скрипт кросс-компиляции C-эксплойтов
  * **`exploits/`** : C-исходники и предварительно скомпилированные бинарники, встраиваемые через 



### Заметные изменения

  * **cve_2026_41651.c** : Добавлен Pack2TheRoot — «сырой» D-Bus-клиент (без libdbus) гоняет флаги SIMULATE/NONE пакета PackageKit `InstallFiles`, чтобы вызвать выполнение postinst с правами root, и размещает setuid-root bash по пути `/var/tmp/.suid_bash`

  * Исправлен `parseKernelVersion`: добавлен `parseIntPrefix` для обработки суффиксов `-rcN` при сравнении версий ядра

  * `bad_epoll.c` переписан в соответствии с корректной архитектурой J-jaeyoung: две пары epoll, расширение IRQ через timerfd с 3000+ ожидающими, оракул глубины 3, атомарные операции acquire/release над разделяемыми переменными

  * Все эксплойты (включая только-утечка/только-PoC) теперь запускают root-оболочку или выполняют запрошенную команду

  * **cve_2026_46333.c** : Добавлен `try_passwd_root()` — похищает доступный для записи fd `/etc/shadow` у `passwd`, записывает известный хеш пароля, затем запускает `su -`; при неудаче использует методы только-утечки

  * **cve_2025_38352.c** : Добавлена перезапись  через  в стиле dirtypipe →  → запуск 




### Добавленные новые эксплойты

  * **peditcow.c** (CVE-2026-46331): примитив записи в page-cache через tc-pedit перезаписывает ELF-запись su шеллкодом. v5.18–v7.1-rc6. Непривилегированный пользователь + сетевое пространство имён дают CAP_NET_ADMIN.
  * **dirtyclone.c** (CVE-2026-43503): порт DirtyClone с Python на C. Цель netfilter ESP-in-UDP TEE повреждает /etc/passwd. Встроенная реализация AES-128-CBC. v7.1-rc1–rc4.
  * **bad_epoll.c** (CVE-2026-46242): гонка close-vs-close Bad Epoll UAF. **Зависит от цели** : смещения по умолчанию рассчитаны на lts-6.12.67 (kernelCTF). Настройте определения `OFF_*` и `PIVOT*` под своё ядро. Требуется /proc/kallsyms (kptr_restrict=0). Запускайте на **непропатченном ядре** — исправление (коммит `a6dc643c6931`, добавляет `ep_clear_and_put`) было бэкпортировано во многие дистрибутивы, включая 6.8 HWE в Ubuntu 22.04.
  * **cve_2026_31694.c** (CVE-2026-31694): OOB-запись в кэш readdir FUSE. Переполняет 24 байта на соседнюю страницу page-cache, чтобы сделать root в /etc/passwd без пароля. v6.15+. Требуется fusermount3.