LIESMICH

Hinweis: Der Code in diesem Repository dient der Demonstration der Isolierung sicherer Pod-Sandbox-Technologien wie kata containers und beabsichtigt nicht, Plattformen anzugreifen.

Wie man es reproduziert

• Holen Sie sich den Linux-Kernel 4.13.0
• patch 0001-CVE-2017-5123-help-to-make-attack-safely.patch
• Erstellen Sie den Linux-Kernel mit config Kconfig
• Starten Sie den Kernel und ermitteln Sie die Adressen von dac_mmap_min_addr, have_canfork_callback, prepare_kernel_cred, commit_creds, set_fs_root, copy_fs_struct, current_task mit den folgenden Befehlen. Aktualisieren Sie die Adressen in CVE-2017-5123.c

echo 0 > /proc/sys/kernel/kptr_restrict
cat /proc/kallsyms

• gdb vmlinux
• Ermitteln Sie die Größe von TASK_FS_OFFSET und aktualisieren Sie die Adresse in CVE-2017-5123.c

(gdb) p &(((struct task_struct *)0)->fs)

• Ermitteln Sie die Größe von TASK_PARENT_OFFSET und aktualisieren Sie die Adresse in CVE-2017-5123.c

(gdb) p &(((struct task_struct *)0)->parent)

• Ermitteln Sie die Größe von FS_ROOT_OFFSET und aktualisieren Sie die Adresse in CVE-2017-5123.c

(gdb) p &(((struct fs_struct *)0)->root)

• Erstellen Sie CVE-2017-5123.c mit --static und legen Sie die Binärdatei in ein Docker-Image.
• Starten Sie den Kernel mit der Kernel-Befehlszeilenoption "nosmep".
• Jetzt verwenden Sie das Docker-Image und rock and roll.

Über dieses CVE

Die waitid-Implementierung in Upstream-Kernels schränkte das Ziel, in das die Ergebnisinformationen kopiert werden, nicht ein. Dies kann es lokalen Benutzern ermöglichen, in ansonsten geschützten Kernel-Speicher zu schreiben, was zu einer Privilegienausweitung führen kann.
Der Fehler wurde am 21.05.2017 eingeführt und am 09.10.2017 behoben.

Dieses CVE wurde bereits in späteren Veröffentlichungen des 4.13-Zweigs und neueren Mainline-Kernels behoben. Es kann jedoch ähnliche CVEs geben, die eine Privilegienausweitung ermöglichen. Das CVE selbst ist tatsächlich dem berühmten dirty cow, CVE-2016-5195 sehr ähnlich.

Weitere Informationen

CVE-2017-5123.c nutzt diese Sicherheitslücke aus, um den Wert von /proc/sys/vm/mmap_min_addr zu ändern. Dann lässt es den Linux-Kernel Shellcode aufrufen, um die Dateizugriffsberechtigung des Host-Roots zu erlangen.