CVE-2024-0582

Un ataque solo de datos basado en CVE-2024-0582

Descripción

El exploit sigue la estrategia de esta publicación de blog, excepto que no usé un proceso hijo para abrir archivos.

Encontré algunos exploits en GitHub que siguen la estrategia de este artículo.

Después de reproducir el exploit con secuestro del flujo de control basado en sockets, intenté implementar el exploit con un ataque solo de datos, que parece no haber sido publicado como código abierto aún.

Prueba con Claude

Le proporcioné los dos artículos anteriores y https://github.com/ysanatomic/io_uring_LPE-CVE-2024-0582/blob/main/exploit.c a Claude y le dije:

¿Podrías modificar el código para que se ajuste al ataque solo de datos? Significa abrir archivo en lugar de sock, buscar ext4_file_operations en lugar de egg, eliminar el secuestro del flujo de control y modificar los permisos del archivo.

Esto generó un código con un proceso hijo. Pero creo que es difícil depurar si uso un proceso hijo. Así que dije:

¿Por qué no abrir el archivo en el proceso, sin usar un hijo?

Luego generó casi el código existente.

Luego yo:

1. Ajusté la cadena de puerta trasera para facilitar su comprensión.
2. Ajusté las banderas de modo de archivo según el código fuente. Lo que generó Claude es incorrecto.
3. Aumenté el número de fd para rociar más estructuras de archivo, ya que es mucho más corto que la estructura sock.

Uso

1. Verifica el ext4_fops_offset.
2. Verifica las banderas de modo de archivo.
3. Quizás aumente el número de fd para rociar más estructuras de archivo.
4. Compila y ejecuta.

gcc exploit.c -o exploit -luring
./exploit

5. Verifica el usuario de puerta trasera. O simplemente cierra sesión y luego inicia sesión con el usuario de puerta trasera.

sudo cat /etc/passwd # Si puedes usar sudo