La vulnerabilidad reside en una race condition en el subsistema io_uring ZCRX del kernel de Linux (versiones 6.15-6.19). Específicamente, la función io_zcrx_return_niov_freelist carecía de una verificación de límites al incrementar free_count y escribir en el array freelist. Esto permitía que free_count excediera el tamaño asignado para freelist, llevando a una escritura Out-Of-Bounds (OOB).
La race condition se produce cuando dos rutas de código separadas intentan devolver net_iovs al mismo freelist de forma concurrente o en una secuencia específica durante la destrucción del page pool de la NIC. La ruta normal de finalización de recepción (Path A) y la ruta de 'scrub' durante la destrucción del page pool (Path B) pueden interactuar de tal manera que un net_iov se cuenta dos veces, provocando que free_count se incremente más allá de num_niovs. Esto resulta en una escritura de 4 bytes (un índice de net_iov, un entero pequeño) inmediatamente después del final del array freelist.
La explotación de esta escritura OOB se convierte en una LPE mediante una cadena de primitivas. Al controlar el tamaño del área de memoria registrada, el atacante puede elegir el slab cache (kmalloc-128 en este caso) donde se asigna el freelist. Mediante heap grooming, se coloca una estructura msg_msg inmediatamente después del freelist en el mismo slab. La escritura OOB corrompe los 4 bytes bajos del campo m_list.next de msg_msg. Aunque el valor escrito es pequeño, la preservación de los 32 bits altos del puntero original permite que el puntero corrupto siga apuntando a una dirección válida en el espacio de direcciones del kernel (physmap).
Finalmente, utilizando msgrcv con MSG_COPY y escaneando la memoria, se puede evadir KASLR para obtener la dirección de modprobe_path. Con esta dirección, el atacante sobrescribe modprobe_path a través de /proc/sys/kernel/modprobe con la ruta a un script malicioso. Al invocar una familia de sockets desconocida, el kernel ejecuta call_usermodehelper con el modprobe_path modificado, lo que resulta en la ejecución del script malicioso con privilegios de root, culminando en una LPE.