CVE-2022-0847 Exploits

Dirty Pipe

Was ist das?

Veröffentlicht am 7. März 2022 von Max Kellerman[2], ist CVE-2022-0847 eine Schwachstelle im Linux-Kernel (Versionen zwischen 5.8 und 5.16.11), die es Angreifern ermöglicht, schreibgeschützte oder unveränderliche Dateien zu überschreiben und ihre Privilegien im System des Opfers zu erhöhen. Die CVE-2022-0847 wurde Dirty Pipe genannt und hat einen CVSS-Score von 7,8 (gilt als hoch).

Wie funktioniert die Ausnutzung der Schwachstelle?

Die Dirty Pipe-Schwachstelle wird als ein Fehler beschrieben, bei dem das Flags-Attribut der struct pipe_buffer[7] in den Funktionen copy_page_to_iter_pipe und push_pipe im Linux-Kernel keine ordnungsgemäße Initialisierung enthielt und daher veraltete Werte enthalten konnte. Eines der Flags, das im Flags-Attribut der struct pipe_buffer gesetzt werden kann, ist das Flag namens PIPE_BUF_FLAG_CAN_MERGE. Es gibt an, ob das Zusammenführen weiterer Daten in den pipe_buffer erlaubt ist oder nicht. Wenn Daten in einen pipe_buffer kopiert werden, können weitere Daten zum pipe_buffer hinzugefügt werden, wenn die kopierte Seite weniger als 4096 Bytes groß ist.

Durch das Injizieren von PIPE_BUF_FLAG_CAN_MERGE in einen Page-Cache-Referenz wurde es möglich, Daten im Page-Cache zu überschreiben, indem einfach neue Daten in das speziell vorbereitete Pipe geschrieben werden (dieser Vorgang wird in den folgenden Absätzen beschrieben). Auf diese Weise kann ein lokaler Benutzer ohne Privilegien diesen Fehler nutzen, um Seiten im Page-Cache zu überschreiben/zu beschreiben, die von schreibgeschützten Dateien unterstützt werden, und so seine Privilegien im System zu erhöhen.

Um die Schwachstelle auszunutzen, müssen die folgenden Schritte befolgt werden:

1. Erstellen Sie ein Pipe.
2. Füllen Sie das Pipe mit beliebigen Daten (um das Flag PIPE_BUF_FLAG_CAN_MERGE in allen Einträgen des zirkulären Arrays zu setzen).
3. Entleeren Sie das Pipe (wobei das Flag PIPE_BUF_FLAG_CAN_MERGE in allen Instanzen von struct pipe_buffer des zirkulären Arrays gesetzt bleibt). Normalerweise sollte das Flag zurückgesetzt werden. Die Dirty Pipe-Schwachstelle bewirkt jedoch, dass das Flag auf 1 gesetzt bleibt.
4. Übertragen Sie eine schreibgeschützte Datei in das Pipe mit dem Syscall splice.
5. Modifizieren Sie die schreibgeschützte Datei. Da der Systemaufruf splice die Call-by-Reference-Methode (Referenzübergabe) verwendet, kann der Angreifer die Datei aufgrund des Flags PIPE_BUF_FLAG_CAN_MERGE überschreiben.

Exploits

Kompilieren Sie alles mit dem folgenden Befehl:

make

Exploit 1 - Überschreiben von schreibgeschützten Dateien

Ausführen

./exploit-1

Beschreibung

Exploit 1, der in der Datei exploit-1.c des Repositorys enthalten ist, besteht darin, das Passwort des Root-Benutzers in der Datei /etc/passwd (diese Datei enthält Informationen über das Benutzerkonto, wie das verschlüsselte Passwort) zu überschreiben und schließlich ein Terminal mit Root-Zugriff bereitzustellen. Dazu war Folgendes erforderlich:

1. Ein Backup der Datei /etc/passwd erstellen.
2. Das Pipe vorbereiten (wie in den oben genannten Schritten 1, 2 und 3 dargestellt) mit dem Flag PIPE_BUF_FLAG_CAN_MERGE.
3. Die Datei /etc/passwd in das Pipe übertragen und den Inhalt dieser Datei mit einem bekannten neuen Root-Passwort überschreiben (wie in den oben genannten Schritten 4 und 5 dargestellt).
4. Eine Sitzung als Root mit dem neuen festgelegten Passwort erstellen.
5. Anschließend wird das Passwort aus dem Backup auf den ursprünglichen Wert zurückgesetzt, sodass keine Spuren hinterlassen werden.
6. Schließlich wird, während die Root-Sitzung noch besteht, ein Shell-Terminal mit Root-Zugriff geöffnet.

Exploit 2 - Hijacking von SUID-Binärdateien

SUID-Binärdateien finden

find / -perm -4000 2>/dev/null

Ausführen

./exploit-2 <path-of-suid-binary>

Beschreibung

Exploit 2, der in der Datei exploit-2.c des Repositorys enthalten ist, besteht darin, eine SUID-Binärdatei zu überschreiben und zu kapern (diese Art von Angriff wurde in Abschnitt 3.5.2 beschrieben) und schließlich ein Terminal mit Root-Zugriff bereitzustellen. Dazu war Folgendes erforderlich:

1. Ein ausführbares ELF-Programm (Executable and Linking Format) vorbereiten, das verwendet wird, um die als Parameter erhaltene SUID-Binärdatei zu überschreiben. Im Exploit erstellt das verwendete ELF-Programm eine neue ausführbare Datei (/tmp/sh), die wiederum eine Shell-Terminal mit Root-Zugriff erzeugt.
2. Den Pfad einer SUID-Binärdatei als Parameter empfangen.
3. Ein Backup der empfangenen Binärdatei erstellen.
4. Das Pipe vorbereiten (wie in den oben genannten Schritten 1, 2 und 3 dargestellt) mit dem Flag PIPE_BUF_FLAG_CAN_MERGE.
5. Die empfangene Binärdatei in das Pipe übertragen und den Inhalt dieser Datei mit dem in Schritt 1 erwähnten ELF-Programm überschreiben (wie in den oben genannten Schritten 4 und 5 dargestellt).
6. Anschließend wird die empfangene Binärdatei aus dem Backup auf ihren ursprünglichen Inhalt wiederhergestellt, sodass keine Spuren hinterlassen werden.
7. Schließlich wird die in Schritt 1 erwähnte ausführbare Datei /tmp/sh ausgeführt, wodurch eine neue Shell mit Root-Zugriff geöffnet wird.

Exploit 3 - Hinzufügen eines Schlüssels für Remote-Zugriff

Ausführen

./exploit-3

Beschreibung

Exploit 3, der in der Datei exploit-3.c des Repositorys enthalten ist, verwendet die gleichen Schritte wie Exploit 1, um Root-Shell-Zugriff zu erhalten. Der Unterschied besteht darin, dass Exploit 3 nach Erhalt des Root-Shell-Zugriffs einen öffentlichen SSH-Schlüssel (Secure Shell) des Angreifers in die Datei /root/.ssh/authorized_keys lädt und einen TCP-Tunnel (Transmission Control Protocol) für den SSH-Remote-Zugriff unter Verwendung der Plattform Ngrok erstellt.

Referenzen

[1] AHMED, Alexis. Privilege Escalation Techniques: Learn the art of exploiting Windows and Linux systems. Birmingham: Packt Publishing, Oktober 2021.

[2] KELLERMANN, Max. The Dirty Pipe Vulnerability. Verfügbar unter: https://dirtypipe.cm4all.com/. Zugriff am: 23. Juli 2022.

[3] Exploit Database. Verfügbar unter: https://www.exploit-db.com/. Zugriff am: 3. August 2022.

[4] Traitor: Automatically exploit low-hanging fruit to pop a root shell. Verfügbar unter: https://github.com/liamg/traitor. Zugriff am: 3. August 2022.

[5] PayloadsAllTheThings. Linux - Privilege Escalation. Verfügbar unter: https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Linux%20-%20Privilege%20Escalation.md#cve-2022-0847-dirtypipe. Zugriff am: 3. August 2022.

[6] Repository des Linux-Kernels - Struct pipe_inode_info. Verfügbar unter: https://github.com/torvalds/linux/blob/v5.8/include/linux/pipe_fs_i.h#L76. Zugriff am: 3. August 2022.

[7] Repository des Linux-Kernels - Struct pipe_buffer. Verfügbar unter: https://github.com/torvalds/linux/blob/v5.8/include/linux/pipe_fs_i.h#L26-L32. Zugriff am: 3. August 2022.

[8] ARNTZ, Pieter. Linux "Dirty Pipe" vulnerability gives unprivileged users root access. Malwarebytes Lab. Verfügbar unter: https://www.malwarebytes.com/blog/news/2022/03/linux-dirty-pipe-vulnerability-gives-unprivileged-users-root-access. Zugriff am: 3. August 2022.

[9] Picus Security. Linux “Dirty Pipe” CVE-2022-0847 Vulnerability Exploitation Explained. Verfügbar unter: https://www.picussecurity.com/resource/linux-dirty-pipe-cve-2022-0847-vulnerability-exploitation-explained. Zugriff am: 3. August 2022.

[10] Exploit Database - Local Privilege Escalation (Dirty Pipe). Verfügbar unter: https://www.exploit-db.com/exploits/50808. Zugriff am: 3. August 2022.