CVE-2017-7184 – Linux Kernel XFRM Privilegieneskalation (ohne sudo)

Überblick

Dieses Repository enthält einen Proof-of-Concept-Exploit für lokale Privilegieneskalation für CVE-2017-7184, eine Linux-Kernel-Sicherheitslücke im XFRM (IPsec) Netlink-Subsystem.

Der Exploit demonstriert, wie ein nicht privilegierter Benutzer echte Root-Rechte (UID 0) erlangen kann, indem er:

1. Einen nicht privilegierten Benutzer- + Netzwerk-Namespace erstellt

2. CAP_NET_ADMIN innerhalb des Namespace erlangt

3. Einen Kernel-Stack-Overflow in der XFRM-Netlink-Verarbeitung auslöst

4. Eine Kernel-ROP-Kette ausführt, um folgende Funktionen aufzurufen:

   • prepare_kernel_cred(NULL)
   • commit_creds()

5. Sicher zurück in den Userspace mit vollen Root-Rechten zurückkehrt

sudo ist nicht erforderlich.

Details zur Sicherheitslücke

Exploit-Strategie (Überblick)

1. Nicht privilegierter Benutzer-Namespace

   • Verwendet unshare(CLONE_NEWUSER | CLONE_NEWNET)
   • Ordnet aktuellen Benutzer → UID 0 innerhalb des Namespace zu
   • Gewährt CAP_NET_ADMIN ohne sudo

2. XFRM-Netlink-Missbrauch

   • Erstellt NETLINK_XFRM-Socket
   • Sendet fehlerhafte XFRM_MSG_NEWSA-Nachricht
   • Löst Kernel-Stack-Overflow durch überdimensionierte Attribute aus

3. Kernel-ROP-Ausführung

   • Überschreibt den Kernel-Stack
   • Führt kontrollierte ROP-Kette aus
   • Erhöht Berechtigungen im Kernel-Kontext

4. Rückkehr in den Userspace

   • Verwendet swapgs; iretq
   • Startet interaktive Root-Shell

Voraussetzungen

• Anfälliger Linux-Kernel (getestet auf 4.8.0-36-generic)
• unprivileged_userns_clone = 1
• Kernel-Symbole verfügbar oder bekannte Offsets
• gcc mit pthread-Unterstützung

Namespace-Unterstützung prüfen:

cat /proc/sys/kernel/unprivileged_userns_clone

Erwartete Ausgabe:

1

Kompilierung

gcc exploit.c -o exploit -pthread

Ausführung

./exploit

sudo nicht verwenden.

Bei Erfolg erhalten Sie eine echte Root-Shell:

uid=0(root) gid=0(root) groups=0(root)

Kernel-Adressauflösung

Der Exploit versucht:

1. Symbole aus /proc/kallsyms auslesen

2. Falls eingeschränkt, Rückgriff auf hartcodierte Offsets für:

   • commit_creds
   • prepare_kernel_cred
   • kernel base

⚠️ ROP-Gadgets und Offsets sind kernelversionabhängig. Sie müssen sie für andere Builds anpassen.

Erwartete Ergebnisse

Vollständig erfolgreicher Exploit

• UID = 0
• GID = 0
• Interaktive Root-Shell

Teilweiser Erfolg (dennoch anfällig)

• Namespace-Erstellung funktioniert
• XFRM-Socket-Erstellung erfolgreich
• Overflow-Payload gesendet
• Kernel-Absturz oder keine Privilegieneskalation

Dies bestätigt dennoch, dass das System anfällig ist.

Einschränkungen

• Hartcodierte ROP-Gadgets (kernelspezifisch)
• Kein KASLR-Umgehung außer kallsyms
• Kein SMEP/SMAP-Umgehung für gehärtete Kernel
• Nicht zuverlässig auf modernen Kerneln

Gegenmaßnahmen

• Kernel auf gepatchte Version aktualisieren
• Nicht privilegierte Benutzer-Namespaces deaktivieren:

sysctl -w kernel.unprivileged_userns_clone=0

• KASLR, SMEP, SMAP aktivieren
• Netlink-Fähigkeiten einschränken

Haftungsausschluss

Dieser Code wird nur zu Bildungs- und Sicherheitsforschungszwecken bereitgestellt.

• Nicht auf Systemen verwenden, die Ihnen nicht gehören oder für die Sie keine Testberechtigung haben
• Der Autor übernimmt keine Haftung für Missbrauch oder Schäden
• Gedacht zum Erlernen von Kernel-Exploitation-Techniken

Referenzen

• CVE-2017-7184
• Linux-Kernel-XFRM-Subsystem
• Privilegieneskalation im Benutzer-Namespace
• Kernel-ROP und commit_creds-Exploitation