Equipo CVE-MD

Este repositorio proporciona una prueba de concepto para CVE-2023-0386: https://nvd.nist.gov/vuln/detail/CVE-2023-0386

Miembros del equipo: Bǎnicǎ Dragoș-Marius y Borsos Matheas-Roland

Aquí está el video: https://www.youtube.com/watch?v=Ikux1rjIYP0

CVE-2023-0386 — Escalada de Privilegios Local en OverlayFS de Linux (PoC)

Resumen

Este repositorio contiene un exploit de prueba de concepto (PoC) para CVE-2023-0386, una vulnerabilidad de escalada de privilegios local en el subsistema OverlayFS del kernel de Linux.

La vulnerabilidad permite a un usuario local sin privilegios escalar privilegios a root explotando el manejo incorrecto de capacidades y propiedad de archivos durante las operaciones de copy-up de OverlayFS. El PoC demuestra cómo una configuración cuidadosamente elaborada de OverlayFS puede producir un ejecutable que retiene privilegios elevados, incluso cuando se copia desde un montaje nosuid.

Antecedentes de la Vulnerabilidad

¿Qué es OverlayFS?

OverlayFS es un sistema de archivos de unión utilizado para combinar múltiples árboles de directorios en una única vista unificada. Se usa ampliamente en:

• Contenedores (Docker, Kubernetes)
• Sistemas de sandboxing
• Diseños de SO inmutables

OverlayFS consiste en:

• Capa inferior (solo lectura)
• Capa superior (escritura)
• Vista combinada

Cuando se modifica un archivo de la capa inferior, OverlayFS realiza una operación de copy-up: el archivo se copia en la capa superior y luego se modifica allí.

Causa Raíz de CVE-2023-0386

La vulnerabilidad radica en cómo OverlayFS maneja los metadatos de los archivos durante el copy-up, específicamente:

• Capacidades de archivos (por ejemplo, CAP_SETUID)
• Bits de propiedad y permisos
• Interacciones con opciones de montaje nosuid
• Mapeos de UID/GID del espacio de nombres de usuario

En versiones del kernel afectadas:

• OverlayFS no logra eliminar correctamente las capacidades al copiar archivos desde una capa inferior nosuid.
• Bajo ciertas condiciones, el archivo copiado retiene atributos elevados.
• La ejecución de este archivo permite la escalada a root.

Esto rompe la suposición de seguridad de que los montajes nosuid previenen la escalada de privilegios.

Estructura del Repositorio

CVE-2023-0386_POC/
├── exp.c # Main exploit logic
├── fuse.c # User-space filesystem helper (FUSE)
├── getshell.c # Privilege escalation payload
├── ovlcap/ # OverlayFS capability test utilities
│ ├── Makefile
│ └── ...
├── Makefile # Top-level build instructions
└── README.md

Flujo de Explotación de Alto Nivel

1. Configuración Controlada del Sistema de Archivos

• Se monta un sistema de archivos FUSE para simular una capa inferior nosuid.
• OverlayFS se configura con una capa superior escribible.

2. Binario con Capacidades

• Se coloca un binario con capacidades de archivo en la capa inferior.

3. Disparo de Copy-Up

• OverlayFS copia el archivo en la capa superior.
• Debido a la vulnerabilidad, la eliminación de capacidades es incompleta.

4. Escalada de Privilegios

• Se ejecuta el binario copiado.
• El kernel concede erróneamente privilegios elevados.
• Se genera una shell de root.

Prueba de Concepto

Requisitos del Sistema

• VM con sistema operativo Ubuntu 22.04
• Un kernel vulnerable (5.15.0-25-generic)
• Soporte FUSE habilitado
• Herramientas de desarrollo:
  • gcc
  • make
  • libfuse-dev (o equivalente)
  • libcap-dev (o equivalente)

Compilación

git clone https://github.com/dragosbanica/CVE-2023-0386_POC.git
cd CVE-2023-0386_POC
make all

Cómo Usar

Inicie dos terminales y en la primera escriba

./fuse ./ovlcap/lower ./gc

En la segunda terminal escriba

./exp