= doi.org/10.5281/zenodo.18304765

= orcid.org/0009-0007-7728-256X

README.md

💀 CVE-2019-5736: Deconstrucción de Escape de Contenedor runc

Análisis Avanzado de Purple Teaming y Forense de Escape de Raíz del Host

🛡️ Resumen

Este repositorio contiene una deconstrucción de alta fidelidad y una Prueba de Concepto (PoC) para CVE-2019-5736, una vulnerabilidad crítica en runc (versiones 1.0-rc1 a 1.0-rc6). Este exploit permite que un contenedor malicioso con privilegios de root sobrescriba el binario runc del host y obtenga acceso completo como root del host.

• Tipo de Vulnerabilidad: CWE-59 (Resolución Incorrecta de Enlace Antes del Acceso a Archivos).
• Puntuación CVSSv3: 8.6 ALTA.
• Impacto: Escape de los espacios de nombres aislados del contenedor al sistema operativo host.

🛠️ Cadena Técnica de Ataque (Cadena de Pensamiento)

El exploit sigue una ruta de ejecución determinista de múltiples etapas:

1. Liberación de Espacios de Nombres: Utiliza unshare -rm para crear un nuevo espacio de nombres de montaje, evitando las restricciones iniciales del contenedor.
2. Puente del Sistema de Archivos: Aprovecha OverlayFS para montar el directorio raíz del host (/) en un directorio controlado por el contenedor y escribible.
3. Secuestro del Enlazador Dinámico: Sobrescribe /etc/ld.so.preload en el host para inyectar un payload malicioso (/bin/sh -p) en cada nuevo proceso.
4. Disparador de Ejecución: Ejecuta un binario estándar del host (ej., /usr/bin/ping) para activar el cargador y generar un Shell Root del Host.

🚀 Despliegue Listo para Producción

1. Configuración del Entorno de Laboratorio (Docker Vulnerable)

Para probar esto en un entorno controlado (Ubuntu 18.04 + Docker 18.09.2):

# [cite_start]Configurar host vulnerable [cite: 384-388]
docker run -d --name vuln_host --privileged ubuntu:18.04 sleep infinity
docker exec vuln_host apt update && apt install -y curl git
docker exec vuln_host curl -sSL https://get.docker.com | sh

2. Ejecutar el Payload de Escape

Ejecute lo siguiente dentro del entorno vulnerable para lograr root del host:

chmod +x runc_root_escape.sh
./runc_root_escape.sh

📊 Matriz de Impacto (Negocio y Técnico)

🔍 Detección y Artefactos Forenses

Para la monitorización del Blue Team, concéntrese en estos indicadores de compromiso (IoCs):

• Sistema de Archivos: Escrituras inesperadas en /etc/ld.so.preload.
• Procesos: Monitoreo de llamadas unshare y mount dentro de los contenedores.
• Historial: Verifique la persistencia automatizada en /var/spool/cron/crontabs/root.

⚖️ Aviso Legal

Este material es proporcionado por SASTRA_ADI_WIGUNA [Purple_Elite_Teaming] únicamente con fines educativos y de pruebas de seguridad autorizadas. El uso de esta información para actividades ilegales está estrictamente prohibido.

📋 Tareas Pendientes / Próximos Pasos

• Integrar reglas de detección de Falco/Sysdig.
• Automatizar scripts de limpieza para operaciones de Red Team.
• Mapear contra MITRE ATT&CK T1611 (Escape al Host).