CVE-2024-3094 SSH-Backdoor-Container-Umgebung

Dies ist eine Umgebung, die eine CVE-2024-3094 sshd-Backdoor-Instanz ausführt, zusammen mit diesem Exploit: https://github.com/amlweems/xzbot.

Experimente

Test in Docker

ES IST KEIN Docker-Container. Ich hatte versucht, diese Schwachstellenumgebung mit Docker zu erstellen, bin aber gescheitert:

1. https://github.com/lockness-Ko/xz-vulnerable-honeypot: xzbot funktioniert darin nicht.
2. Manuelles Erstellen des Dateisystems des Docker-Images von Grund auf mit exakt denselben Abhängigkeiten, die auf einem Ubuntu-VM-Host erfolgreich mit xzbot ausgenutzt wurden: Der xzbot-Exploit schlug weiterhin fehl.

Ich vermute, dass es mit systemd zusammenhängt, denn alle von mir in Docker versuchten Methoden zum Starten von SSHD liefen über die Befehlszeile, nicht über systemd.

Test im Host

Im Anschluss daran habe ich ein Experiment durchgeführt: Auf dem VM-Rechner, auf dem sshd (systemd) erfolgreich mit xzbot ausgenutzt wurde, habe ich /sbin/sshd -D -e -p 2024 mit einer ersetzten liblzma.so direkt gestartet, und der xzbot-Exploit schlug fehl, was darauf hindeutet, dass dies stark mit systemd zusammenhängen könnte.

Test im Host mit systemd

Ich habe Docker aufgegeben, weil es etwas komplex ist, sshd von systemd aus innerhalb von Docker auszuführen.

Schließlich extrahierte ich das minimierte Dateisystem aus meiner VM und erstellte daraus einen Mini-Container auf Basis von chroot, der problemlos im Host-Namespace mit systemd ausgeführt werden kann.

Es funktioniert sowohl in meiner VM-Umgebung als auch in einer anderen Umgebung, sodass der xzbot-Exploit erfolgreich ist.

Ich habe das Prinzip noch nicht verstanden, aber ich habe die Umgebung in diesem Projekt für die Forschung organisiert.

Verwendung

Umgebung erstellen

./compose.sh im Stammverzeichnis dieses Projekts.

Umgebung entfernen

./remove.sh im Stammverzeichnis dieses Projekts.

Exploit

./xzbot -addr 127.0.0.1:2024 -cmd 'whoami > /hello', und Sie können die Datei mit dem Namen hello unterhalb von env_fs sehen, wenn der Exploit erfolgreich ist.

Weitere Angaben

Wie funktioniert der Exploit?

https://github.com/amlweems/xzbot bietet ein nützliches Tool und hat die liblzma.so mit einem eigenen öffentlichen Schlüssel gepatcht, sodass sie zugänglich ist. Weitere Details finden Sie im xzbot-Projekt.

Unser Mini-Dateisystem enthält die standardmäßig gepatchte lzma-SO-Datei von xzbot. Und eine ausführbare xzbot-Binärdatei wurde hier statisch kompiliert. Sie können einfach ./xzbot -addr 127.0.0.1:2024 -cmd 'whoami > /hello' zum Testen ausführen.

Wie es funktioniert

Eine systemd-Dienstdatei xzback.service wird dynamisch auf Ihrem Host unter /etc/systemd/system/ bereitgestellt.

Und der Dienst xzback.service startet mit einem chroot in unser Mini-Dateisystem, ohne weiteren Einfluss auf das Host-Dateisystem.