Team CVE-MD

Dieses Repository enthält einen Proof-of-Concept für CVE-2023-0386: https://nvd.nist.gov/vuln/detail/CVE-2023-0386

Teammitglieder: Bǎnicǎ Dragoș-Marius und Borsos Matheas-Roland

Hier ist das Video: https://www.youtube.com/watch?v=Ikux1rjIYP0

CVE-2023-0386 — Lokale Privilegienerweiterung in Linux OverlayFS (PoC)

Überblick

Dieses Repository enthält einen Proof-of-Concept-Exploit (PoC) für CVE-2023-0386, eine Schwachstelle zur lokalen Privilegienerweiterung im OverlayFS-Subsystem des Linux-Kernels.

Die Schwachstelle ermöglicht es einem lokalen, nicht privilegierten Benutzer, durch die Ausnutzung fehlerhafter Behandlung von Datei-Capabilities und Besitzrechten während OverlayFS-Copy-up-Operationen Root-Rechte zu erlangen. Der PoC zeigt, wie ein sorgfältig konstruiertes OverlayFS-Setup eine ausführbare Datei erzeugen kann, die erhöhte Privilegien behält, selbst wenn sie von einem nosuid-Mount kopiert wird.

Hintergrund der Schwachstelle

Was ist OverlayFS?

OverlayFS ist ein Union-Dateisystem, das verwendet wird, um mehrere Verzeichnisbäume in einer einzigen einheitlichen Ansicht zu kombinieren. Es wird intensiv eingesetzt in:

• Containern (Docker, Kubernetes)
• Sandbox-Systemen
• Unveränderlichen (immutablen) Betriebssystem-Layouts

OverlayFS besteht aus:

• Unterer Ebene (schreibgeschützt)
• Oberer Ebene (beschreibbar)
• Zusammengeführter Ansicht

Wenn eine Datei aus der unteren Ebene geändert wird, führt OverlayFS eine Copy-up-Operation durch: Die Datei wird in die obere Ebene kopiert und dort anschließend geändert.

Grundursache von CVE-2023-0386

Die Schwachstelle liegt in der Behandlung von Dateimetadaten durch OverlayFS während des Copy-up, insbesondere:

• Datei-Capabilities (z. B. CAP_SETUID)
• Besitz- und Berechtigungsbits
• Interaktionen mit nosuid-Mountoptionen
• UID/GID-Zuordnungen in Benutzer-Namespaces

In betroffenen Kernel-Versionen:

• Gelingt es OverlayFS nicht, Capabilities ordnungsgemäß zu entfernen, wenn Dateien von einer nosuid-unteren Ebene kopiert werden.
• Behält die kopierte Datei unter bestimmten Bedingungen erhöhte Attribute.
• Die Ausführung dieser Datei ermöglicht eine Eskalation zu Root.

Dies bricht die Sicherheitsannahme, dass nosuid-Mounts eine Privilegienerweiterung verhindern.

Repository-Struktur

CVE-2023-0386_POC/
├── exp.c # Main exploit logic
├── fuse.c # User-space filesystem helper (FUSE)
├── getshell.c # Privilege escalation payload
├── ovlcap/ # OverlayFS capability test utilities
│ ├── Makefile
│ └── ...
├── Makefile # Top-level build instructions
└── README.md

Ablauf des Exploits auf hoher Ebene

1. Kontrolliertes Dateisystem-Setup

• Ein FUSE-Dateisystem wird eingehängt, um eine nosuid-untere Ebene zu simulieren.
• OverlayFS wird mit einer beschreibbaren oberen Ebene konfiguriert.

2. Binärdatei mit Capabilities

• Eine Binärdatei mit Datei-Capabilities wird in der unteren Ebene platziert.

3. Copy-up-Auslösung

• OverlayFS kopiert die Datei in die obere Ebene.
• Aufgrund der Schwachstelle ist das Entfernen der Capabilities unvollständig.

4. Privilegienerweiterung

• Die kopierte Binärdatei wird ausgeführt.
• Der Kernel gewährt fälschlicherweise erhöhte Privilegien.
• Eine Root-Shell wird gestartet.

Proof of Concept

Systemanforderungen

• VM mit Ubuntu-22.04-OS
• Ein verwundbarer Kernel (5.15.0-25-generic)
• Aktivierter FUSE-Support
• Entwicklungswerkzeuge:
  • gcc
  • make
  • libfuse-dev (oder entsprechend)
  • libcap-dev (oder entsprechend)

Build

git clone https://github.com/dragosbanica/CVE-2023-0386_POC.git
cd CVE-2023-0386_POC
make all

Verwendung

Öffnen Sie zwei Terminals und geben Sie im ersten ein:

./fuse ./ovlcap/lower ./gc

Geben Sie im zweiten Terminal ein:

./exp