CVE-2023-4863 — Libwebp-Exploitationslabor

Reproduktion von CVE-2023-4863 (Heap-Buffer-Overflow in libwebp) in einer vollständig isolierten und automatisierten Docker-Umgebung. Basierend auf der Übung des Moduls „Hacking Ético“ von CEFIRE.

Was dieses Lab macht

Es startet acht Container in einem privaten Netzwerk:

Die automatische Demonstration (victim-cli vs victim-patched) erfolgt beim Start von selbst. Die visuelle GUI-Demonstration erfordert manuelle Interaktion über Guacamole.

Voraussetzungen

• Docker Engine 24+
• Docker Compose v2
• ~5 GB RAM verfügbar
• ~10 GB Festplatte (Images + Layer)

Lab starten

make up

make up führt beim ersten Mal automatisch drei Dinge aus:

1. Erzeugt das SQL-Schema von Guacamole (führt initdb.sh aus dem offiziellen Image aus)
2. Baut die Images der Container
3. Startet alles

Der Build dauert beim ersten Mal einige Minuten (lädt Basis-Images herunter, klont das PoC-Repository, installiert Pakete). Bei späteren Ausführungen wird der Docker-Cache genutzt und es geht fast augenblicklich.

Wenn er fertig ist, siehst du die URL von Guacamole in der Ausgabe. Die Opfer-Container starten erst, wenn der Angreifer bereit ist und das Exploit ausliefert (Healthcheck).

Zugangsdaten

Automatische Demonstration ansehen (CLI)

In einem Terminal, während das Lab läuft:

# Crash im anfälligen Opfer ansehen
make logs-victim-cli

# Kontrollierte Antwort im gepatchten Opfer ansehen
make logs-victim-patched

Was du in victim-cli sehen wirst:

[*] Ejecutando: dwebp /tmp/exploit.webp -o /tmp/salida.png

Decoding of exploit.webp failed.
Status: 3(BITSTREAM_ERROR)
*** glibc detected *** double free or corruption (!prev) ***
Aborted (core dumped)

[!] EXIT CODE: 134 (SIGABRT)
[!] CVE-2023-4863 CONFIRMADO

Was du in victim-patched sehen wirst:

[*] Ejecutando: dwebp /tmp/exploit.webp -o /tmp/salida.png

Decoding of exploit.webp failed.
Status: 3(BITSTREAM_ERROR)

[+] EXIT CODE: 1 — Error controlado
[+] CVE-2023-4863 MITIGADO

Visuelle Desktop-Demonstration (GUI)

Die anschaulichste Demonstration erfolgt durch den Vergleich von victim-gui (anfällig) mit victim-gui-patched (gepatcht) mittels dwebp in einem Terminal der XFCE-Desktopumgebung.

Schritte

1. Öffne http://localhost:8888/guacamole in deinem Browser
2. Anmeldung: guacadmin / guacadmin
3. Im anfälligen Opfer (Firefox 110):
   • Wähle [VÍCTIMA GUI] VNC — Escritorio Chrome
   • Öffne ein Terminal auf dem XFCE-Desktop
   • Führe aus:
     root@kitploit:~

     firefox --no-sandbox http://attacker/index.html
     

   • Firefox 110 versucht, exploit.webp zu rendern → Crash (SIGABRT, Prozess stirbt)
4. Im gepatchten Opfer (Firefox 126):
   • Wähle [VÍCTIMA GUI PATCH] VNC — Escritorio Chrome patch
   • Gleicher Befehl → Firefox 126 behandelt den Fehler ohne Absturz

Warum Firefox statt Chrome

Mozilla betreibt ein dauerhaft öffentliches Archiv aller Versionen unter releases.mozilla.org. Google hat die URLs alter Chrome-Versionen von seinem CDN entfernt, sodass ein zuverlässiger Download von Chrome 116 unmöglich ist. Firefox 110 ist gleichermaßen anfällig (beide binden libwebp intern ein) und sein Download aus dem Mozilla-Archiv ist stabil und reproduzierbar.

Direkter SSH-Zugriff (ohne Guacamole)

ssh root@localhost -p 2220   # attacker
ssh root@localhost -p 2221   # victim-cli
ssh root@localhost -p 2223   # victim-patched
ssh root@localhost -p 2222   # victim-gui
ssh root@localhost -p 2224   # victim-gui-patched

Direktes VNC: localhost:5900 (victim-gui) und localhost:5901 (victim-gui-patched).

Nützliche Befehle

make logs                    # alle Logs in Echtzeit
make status                  # Status der Container
make shell-attacker          # Shell im Angreifer
make shell-victim-cli
make shell-victim-gui
make shell-victim-gui-patched
make down                    # Lab stoppen
make clean                   # stoppen + Images und Netzwerke löschen

Hinweise

Chrome und libwebp: Chrome bündelt eine eigene Kopie von libwebp (verwendet nicht die Systemversion). Versionen ≥ 116.0.5845.187 enthalten den Patch. Da Google die URLs alter Versionen entfernt hat, fällt das Dockerfile auf den Fallback mit der aktuellen stabilen Version (gepatcht) zurück. Die Crash-Demonstration mit dwebp ist gleichermaßen gültig und zuverlässiger.

Isoliertes Netzwerk: Kein Container hat während der Ausführung Internetzugriff. Der gesamte Verkehr bleibt innerhalb des privaten Docker-Netzwerks cve4863-lab-net.