فريق CVE-MD

يقدم هذا المستودع دليلاً على المفهوم لـ CVE-2023-0386: https://nvd.nist.gov/vuln/detail/CVE-2023-0386

أعضاء الفريق: Bǎnicǎ Dragoș-Marius و Borsos Matheas-Roland

إليكم الفيديو: https://www.youtube.com/watch?v=Ikux1rjIYP0

CVE-2023-0386 — تصعيد الامتيازات المحلية في Linux OverlayFS (إثبات المفهوم)

نظرة عامة

يحتوي هذا المستودع على إثبات مفهوم لاستغلال CVE-2023-0386، وهي ثغرة تصعيد امتيازات محلية في نظام الملفات الموحد (OverlayFS) الخاص بنواة لينكس.

تسمح الثغرة لمستخدم محلي غير مميز بتصعيد صلاحياته إلى جذر (root) عن طريق استغلال معالجة غير صحيحة لسمات الملفات (capabilities) والملكية أثناء عمليات النسخ للأعلى (copy-up) في OverlayFS. يوضح إثبات المفهوم كيف يمكن لإعداد OverlayFS مصمم بعناية إنتاج ملف قابل للتنفيذ يحتفظ بصلاحيات مرتفعة، حتى عند نسخه من نقطة تحميل nosuid.

خلفية الثغرة

ما هو OverlayFS؟

OverlayFS هو نظام ملفات موحد يُستخدم لدمج عدة أشجار أدلة في عرض واحد موحد. يُستخدم بكثرة في:

• الحاويات (Docker، Kubernetes)
• أنظمة العزل الرملي (Sandboxing)
• تخطيطات أنظمة التشغيل غير القابلة للتغيير

يتكون OverlayFS من:

• طبقة سفلى (Lower layer) (للقراءة فقط)
• طبقة عليا (Upper layer) (قابلة للكتابة)
• عرض مدمج (Merged view)

عند تعديل ملف من الطبقة السفلى، يقوم OverlayFS بعملية نسخ للأعلى: يُنسخ الملف إلى الطبقة العليا ثم يُعدّل هناك.

السبب الجذري لـ CVE-2023-0386

تكمن الثغرة في كيفية تعامل OverlayFS مع البيانات الوصفية للملفات أثناء النسخ للأعلى، وتحديدًا:

• سمات الملفات (capabilities) (مثل CAP_SETUID)
• بتات الملكية والأذونات
• التفاعلات مع خيارات التحميل nosuid
• تعيينات UID/GID في نطاقات المستخدمين (user namespaces)

في إصدارات النواة المتأثرة:

• يفشل OverlayFS في إزالة السمات بشكل صحيح عند نسخ الملفات من طبقة سفلى من نوع nosuid.
• في ظل ظروف معينة، يحتفظ الملف المنسوخ بسمات مرتفعة.
• يؤدي تشغيل هذا الملف إلى تصعيد الصلاحيات إلى الجذر.

هذا يخالف الافتراض الأمني القائل إن تحميل nosuid يمنع تصعيد الامتيازات.

هيكل المستودع

CVE-2023-0386_POC/
├── exp.c # المنطق الرئيسي للاستغلال
├── fuse.c # مساعد نظام الملفات في مساحة المستخدم (FUSE)
├── getshell.c # حمولة تصعيد الامتيازات
├── ovlcap/ # أدوات اختبار سمات OverlayFS
│ ├── Makefile
│ └── ...
├── Makefile # تعليمات البناء الرئيسية
└── README.md

تدفق الاستغلال عالي المستوى

1. إعداد نظام ملفات متحكم به

• يتم تحميل نظام ملفات FUSE لمحاكاة طبقة سفلى nosuid.
• يتم تكوين OverlayFS بطبقة عليا قابلة للكتابة.

2. ملف ثنائي يحمل سمات

• يتم وضع ملف ثنائي بسمات ملفات في الطبقة السفلى.

3. تشغيل النسخ للأعلى

• يقوم OverlayFS بنسخ الملف إلى الطبقة العليا.
• بسبب الثغرة، تكون إزالة السمات غير مكتملة.

4. تصعيد الامتيازات

• يتم تشغيل الملف الثنائي المنسوخ.
• تمنح النواة صلاحيات مرتفعة بشكل خاطئ.
• يتم فتح شل جذر (root shell).

إثبات المفهوم

متطلبات النظام

• جهاز افتراضي بنظام Ubuntu 22.04
• نواة ضعيفة (5.15.0-25-generic)
• دعم FUSE مفعّل
• أدوات التطوير:
  • gcc
  • make
  • libfuse-dev (أو ما يعادله)
  • libcap-dev (أو ما يعادله)

البناء

git clone https://github.com/dragosbanica/CVE-2023-0386_POC.git
cd CVE-2023-0386_POC
make all

كيفية الاستخدام

افتح نافذتي طرفية (terminal) واكتب في الأولى

./fuse ./ovlcap/lower ./gc

وفي الثانية اكتب

./exp