CVE-2015-1328 Proof of Concept

Ein Proof of Concept (PoC) Exploit für CVE-2015-1328, eine Privilegieneskalations-Schwachstelle in der Overlayfs-Implementierung des Linux-Kernels. Diese Schwachstelle erlaubt es lokalen unprivilegierten Benutzern, Root-Zugriff zu erlangen, indem sie fehlerhafte Berechtigungsprüfungen bei Overlayfs-Mount-Operationen in Benutzernamensräumen ausnutzen.

Übersicht

CVE-2015-1328 ist eine kritische Sicherheitslücke, die Linux-Kernel mit Overlayfs-Unterstützung und aktivierten Benutzernamensräumen betrifft. Die Schwachstelle erlaubt es einem unprivilegierten lokalen Benutzer:

1. Einen Benutzernamensraum mit unshare(CLONE_NEWUSER) zu erstellen
2. Overlayfs-Dateisysteme innerhalb des Namensraums zu mounten
3. Fehler in der Berechtigungsprüfung auszunutzen, um in /etc/ld.so.preload zu schreiben
4. Eine bösartige gemeinsam genutzte Bibliothek auszuführen, um Root-Rechte zu erlangen

Dieser PoC demonstriert die Schwachstelle durch:

• Verwendung von Namensraum-Isolation zur Umgehung von Mount-Beschränkungen
• Mounten von Overlayfs zur Manipulation von Systemdateien
• Einspielen einer benutzerdefinierten gemeinsam genutzten Bibliothek über /etc/ld.so.preload
• Übernahme von getuid() zur Ausführung einer Root-Shell

Betroffene Systeme

• Ubuntu 14.04 LTS mit Kernel-Versionen vor 3.19.0-21.21
• Systeme mit:
  • Aktivierten Benutzernamensräumen (kernel.unprivileged_userns_clone=1)
  • Overlayfs-Dateisystemunterstützung
  • Ungepatchten Kernel-Versionen

Voraussetzungen

• GCC-Compiler mit 32-Bit-Unterstützung
• Linux-Kernel mit Benutzernamensräumen und Overlayfs-Unterstützung
• Entsprechende Systembibliotheken (Unterstützung des -m32-Flags)

Erstellung

Das Projekt enthält ein Makefile zur einfachen Kompilierung:

make

Dies wird kompilieren:

• ofs – Die ausführbare Hauptdatei des Exploits (statisch, 32-Bit)
• ofs-lib.so – Die gemeinsam genutzte Bibliothek für den LD_PRELOAD-Hook (32-Bit)

Manuelle Kompilierung

Falls Sie manuell kompilieren möchten:

# Haupt-Exploit kompilieren
gcc -o ofs ofs.c -m32 -static

# Gemeinsam genutzte Bibliothek kompilieren
gcc -m32 -fPIC -shared -o ofs-lib.so ofs-lib.c -ldl -static-libgcc

Verwendung

⚠️ WARNUNG: Dieser Exploit wird Systemdateien verändern und versuchen, Root-Rechte zu erlangen. Nur in kontrollierten Umgebungen mit entsprechender Autorisierung verwenden.

1. Exploit kompilieren:

   root@kitploit:~

   make
   

2. Exploit ausführen:

   root@kitploit:~

   ./ofs
   

3. Im Erfolgsfall wird der Exploit:

   • Notwendige Namensraumstrukturen erstellen
   • Overlayfs-Dateisysteme mounten
   • In /etc/ld.so.preload schreiben
   • /bin/su ausführen, welches die bösartige Bibliothek auslöst
   • Eine Root-Shell starten

Funktionsweise

Ablauf des Exploits

1. Namensraumerstellung: Der Exploit erstellt einen neuen Benutzernamensraum mit unshare(CLONE_NEWUSER)
2. Mount-Namensraum: Erzeugt einen Mount-Namensraum mit clone() und CLONE_NEWNS
3. Overlayfs-Mount: Mountet Overlayfs-Dateisysteme zur Manipulation von Systemverzeichnissen
4. Dateimanipulation: Nutzt Overlayfs zum Umbenennen von Dateien und zum Schreiben in /etc/ld.so.preload
5. Bibliotheksinjektion: Schreibt eine bösartige gemeinsam genutzte Bibliothek nach /tmp/ofs-lib.so
6. Privilegieneskalation: Führt /bin/su aus, welches die vorgeladene Bibliothek auslöst
7. Root-Shell: Die Bibliothek übernimmt getuid() und startet eine Root-Shell

Technische Details

• Der Exploit verwendet clone() mit einem benutzerdefinierten Stack, um isolierte Mount-Namensräume zu erzeugen
• Overlayfs-Mounts erlauben Dateimanipulationen innerhalb des Namensraums, die den Host betreffen
• Die gemeinsam genutzte Bibliothek (ofs-lib.so) hookt getuid() über LD_PRELOAD
• Wenn /bin/su getuid() aufruft, wird stattdessen die bösartige Funktion ausgeführt

Code-Struktur

.
├── ofs.c          # Hauptcode des Exploits
├── ofs-lib.c      # Gemeinsam genutzte Bibliothek zur Privilegieneskalation
├── lib_so.h       # Eingebettete Binärbibliotheksdaten
├── Makefile       # Build-Konfiguration
└── README.md      # Diese Datei

Wichtige Dateien

• ofs.c: Enthält die Hauptlogik des Exploits, Namensraumerstellung und Mount-Operationen
• ofs-lib.c: Implementiert den getuid()-Hook, der eine Root-Shell startet
• lib_so.h: Enthält die kompilierte gemeinsam genutzte Bibliothek als Binärarray (zum Einbetten)

Schutzmaßnahmen

Um sich vor dieser Schwachstelle zu schützen:

1. Kernel aktualisieren auf eine gepatchte Version (3.19.0-21.21 oder später für Ubuntu 14.04)
2. Benutzernamensräume deaktivieren, falls nicht benötigt:
   root@kitploit:~

   echo 0 > /proc/sys/kernel/unprivileged_userns_clone
   

3. AppArmor/SELinux verwenden, um die Fähigkeit zur Erstellung von Namensräumen einzuschränken
4. Systemprotokolle überwachen auf verdächtige Mount-Operationen

Rechtlicher und ethischer Haftungsausschluss

Dieser Code dient ausschließlich zu Bildungs- und Sicherheitsforschungszwecken.

• Die unbefugte Nutzung dieses Exploits gegen Systeme ohne ausdrückliche Genehmigung ist illegal
• Dieser PoC ist bestimmt für:
  • Sicherheitsforscher, die Kernel-Schwachstellen untersuchen
  • Systemadministratoren, die die Widerstandsfähigkeit ihrer Systeme testen
  • Bildungszwecke in kontrollierten Umgebungen
• Die Autoren übernehmen keine Verantwortung für Missbrauch dieses Codes
• Stellen Sie stets sicher, dass Sie vor Tests an einem System die entsprechende Autorisierung haben

Referenzen

• CVE-2015-1328
• Ubuntu Security Advisory
• Kernel.org Git Commit
• Cloud Foundry Advisory
• Exploit DB Author: rebel

Lizenz

Dieses Projekt wird im Ist-Zustand für Bildungszwecke bereitgestellt. Verantwortungsvoll und in Übereinstimmung mit allen geltenden Gesetzen und Vorschriften nutzen.