CVE-2017-7184 – تصعيد الصلاحيات في نواة لينكس عبر XFRM (بدون sudo)

نظرة عامة

يحتوي هذا المستودع على إثبات مفهوم لاستغلال تصعيد الصلاحيات المحلي لـ CVE-2017-7184، وهي ثغرة في نواة لينكس في النظام الفرعي XFRM (IPsec) netlink.

يوضح الاستغلال كيف يمكن لمستخدم غير مميز الحصول على جذر حقيقي (UID 0) عن طريق:

1. إنشاء مساحة اسم مستخدم + شبكة غير مميزة

2. الحصول على CAP_NET_ADMIN داخل مساحة الاسم

3. تحفيز تجاوز سعة مكدس النواة في معالجة XFRM netlink

4. تنفيذ سلسلة ROP للنواة لاستدعاء:

   • prepare_kernel_cred(NULL)
   • commit_creds()

5. العودة بأمان إلى وضع المستخدم بصلاحيات جذر كاملة

لا يتطلب sudo.

---

تفاصيل الثغرة

الحقل	القيمة
CVE	CVE-2017-7184
المكون	نواة لينكس – XFRM Netlink
نوع الخطأ	تجاوز سعة مكدس النواة
التأثير	تصعيد صلاحيات محلي
ناقل الهجوم	محلي (مستخدم غير مميز)
فئة الاستغلال	إساءة استخدام مساحات الأسماء + ROP
أول إصدار متأثر	نوى لينكس ≤ 4.8
الإصلاح في	تصحيحات النواة الصادرة في 2017

---

استراتيجية الاستغلال (مستوى عالٍ)

1. مساحة اسم مستخدم غير مميز

   • يستخدم unshare(CLONE_NEWUSER | CLONE_NEWNET)
   • يعيّن المستخدم الحالي → UID 0 داخل مساحة الاسم
   • يمنح CAP_NET_ADMIN بدون sudo

2. إساءة استخدام XFRM Netlink

   • ينشئ مقبس NETLINK_XFRM
   • يرسل رسالة XFRM_MSG_NEWSA مشوهة
   • يحفز تجاوز سعة مكدس النواة عبر سمات كبيرة الحجم

3. تنفيذ ROP في النواة

   • يكتب فوق مكدس النواة
   • ينفذ سلسلة ROP مسيطر عليها
   • يرفع صلاحيات المستخدم في سياق النواة

4. العودة إلى وضع المستخدم

   • يستخدم swapgs; iretq
   • يطلق شل جذر تفاعلي

---

المتطلبات

• نواة لينكس قابلة للاستغلال (تم اختبارها على 4.8.0-36-generic)
• unprivileged_userns_clone = 1
• رموز النواة متاحة أو إزاحات معروفة
• gcc مع دعم pthread

تحقق من دعم مساحة الاسم:

cat /proc/sys/kernel/unprivileged_userns_clone

الإخراج المتوقع:

1

---

التجميع

gcc exploit.c -o exploit -pthread

---

التنفيذ

./exploit

لا تستخدم sudo.

إذا نجح الاستغلال، ستحصل على شل جذر حقيقي:

uid=0(root) gid=0(root) groups=0(root)

---

دقة عنوان النواة

يحاول الاستغلال:

1. تسريب الرموز من /proc/kallsyms

2. إذا كان مقيدًا، يتراجع إلى إزاحات مشفرة لـ:

   • commit_creds
   • prepare_kernel_cred
   • قاعدة النواة

⚠️ أدوات ROP والإزاحات خاصة بإصدار النواة. يجب تعديلها للإصدارات الأخرى.

---

النتائج المتوقعة

استغلال ناجح بالكامل

• UID = 0
• GID = 0
• شل جذر تفاعلي

نجاح جزئي (لا يزال ثغرة)

• إنشاء مساحة الاسم يعمل
• إنشاء مقبس XFRM ينجح
• تم إرسال حمولة التجاوز
• تعطل النواة أو عدم تصعيد صلاحيات

هذا يؤكد أن النظام لا يزال قابلًا للاستغلال.

---

القيود

• أدوات ROP مشفرة (خاصة بالنواة)
• لا يوجد تجاوز لـ KASLR خارج kallsyms
• لا يوجد تجاوز لـ SMEP/SMAP للنوى المحصنة
• غير موثوق على النوى الحديثة

---

التخفيف

• تحديث النواة إلى الإصدار المصحح
• تعطيل مساحات اسم المستخدم غير المميزة:

sysctl -w kernel.unprivileged_userns_clone=0

• تفعيل KASLR, SMEP, SMAP
• تقييد قدرات netlink

---

إخلاء مسؤولية

هذا الكود مقدم لأغراض تعليمية وبحث أمني فقط.

• لا تستخدمه على أنظمة لا تملكها أو ليس لديك إذن لاختبارها
• لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام أو الضرر
• مخصص لتعلم تقنيات استغلال النواة

---

المراجع

• CVE-2017-7184
• النظام الفرعي XFRM في نواة لينكس
• تصعيد صلاحيات مساحة اسم المستخدم
• استغلال ROP في النواة و commit_creds