Dirty Pipe Exploit (CVE-2022-0847)

Übersicht

Dieses Repository enthält einen Proof-of-Concept-Exploit (PoC) für die Dirty-Pipe-Sicherheitslücke (CVE-2022-0847), die Linux-Kernelversionen 5.8 bis 5.16 betrifft. Diese Schwachstelle ermöglicht eine lokale Rechteausweitung, indem sie die unsachgemäße Behandlung von Pipe-Puffern im Kernel ausnutzt und es einem Angreifer ermöglicht, schreibgeschützte Dateien (wie SUID-Binaries) zu modifizieren und beliebigen Code mit erhöhten Rechten auszuführen.

Beschreibung

Die Dirty-Pipe-Sicherheitslücke ist ein kritisches Problem, das in Linux-Kernelversionen zwischen 5.8 und 5.16 auftritt. Sie ermöglicht eine lokale Rechteausweitung, indem sie die unsachgemäße Behandlung von Pipe-Puffern im Kernel ausnutzt. Diese Schwachstelle kann durch das Schreiben in eine schreibgeschützte Datei (wie SUID-Binaries) ausgelöst werden, was zu beliebiger Codeausführung und potenziell zu einer Root-Shell auf dem betroffenen System führen kann.

Kernfunktionen:

• Rechteausweitung: Erhöht die Privilegien von einem unprivilegierten Benutzer zu Root.
• Gezielter Angriff: Ziel sind schreibgeschützte Dateien wie SUID-Binaries.
• Benutzerdefinierter ELF-Shellcode: Injiziert benutzerdefinierten Shellcode in eine Zieldatei, um eine Root-Shell zu starten.
• Anti-Debugging: Enthält Anti-Debugging-Mechanismen, um die Erkennung durch Reverse Engineers zu vermeiden.

Exploit-Ablauf

1. Kernel-Versionsprüfung: Überprüft die Kernelversion, um sicherzustellen, dass sie im verwundbaren Bereich (5.8 bis 5.16) liegt.
2. Manipulation der Pipe-Puffer: Der Exploit manipuliert die Flags der Pipe-Puffer, um die Dirty-Pipe-Sicherheitslücke auszulösen.
3. Payload-Injektion: Ein benutzerdefinierter ELF-Shellcode wird in die Zieldatei (z. B. eine SUID-Binary) injiziert.
4. SUID-Binary kapern: Die Ziel-Binary wird gekapert, indem ihr Inhalt mit dem injizierten Shellcode überschrieben wird.
5. Gekaperte Binary ausführen: Die gekaperte Binary wird ausgeführt, was zum Start einer Root-Shell führt.
6. Original-Binary wiederherstellen: Der ursprüngliche Inhalt der SUID-Binary wird wiederhergestellt, um eine Erkennung zu vermeiden.
7. Persistente Root-Shell: Eine Root-Shell wird mit erhöhten Rechten geöffnet.

Voraussetzungen

• Ein Linux-System, das eine verwundbare Kernelversion (5.8 bis 5.16) ausführt.
• Eine SUID-Binary, die für die Rechteausweitung ausgenutzt werden kann.

Kompilieren und Ausführen des Exploits

Um den Exploit zu kompilieren, führen Sie den folgenden Befehl aus:

gcc dirtypipe.c -Wall -O2 -fno-pie -no-pie -o dirtypipe

Hinweise:

Stellen Sie sicher, dass die Ziel-SUID-Binary ausnutzbar ist und sich in einem Pfad befindet, auf den der Benutzer, der den Exploit ausführt, Zugriff hat.

Das System muss eine verwundbare Version des Linux-Kernels (5.8 bis 5.16) ausführen.

Anti-Debugging-Funktionen Der Exploit enthält einen Anti-Debugging-Mechanismus, um die Erkennung durch Debugging-Tools wie gdb zu verhindern. Wenn der Exploit das Vorhandensein eines Debuggers erkennt, beendet er sich vorzeitig, was es Angreifern erschwert, den Code zu analysieren.

So funktioniert es: Der Exploit prüft auf Debugging-Aktivitäten, indem er /proc/self/status untersucht, und verwendet ptrace-Systemaufrufe, um zu erkennen, ob das Programm von einem Debugger verfolgt wird.

Wenn ein Debugger erkannt wird, stoppt der Exploit die Ausführung und beendet sich, was das Reverse Engineering erschwert.

Haftungsausschluss Dieser Exploit wird ausschließlich zu Bildungs- und Forschungszwecken bereitgestellt. Die unbefugte Nutzung dieses Exploits ist illegal und unethisch. Das Ausführen dieses Exploits auf einem System ohne ausdrückliche Genehmigung des Systembesitzers ist untersagt und kann rechtliche Konsequenzen nach sich ziehen.

Der Autor übernimmt keine Verantwortung für Schäden, Datenverluste oder rechtliche Konsequenzen, die durch die Nutzung oder den Missbrauch dieses Exploits entstehen.