README

Nota: El código en este repositorio es para demostrar el aislamiento de tecnologías de sandbox de pods seguros como kata containers y no pretende atacar ninguna plataforma.

Cómo reproducir

• Obtenga el kernel de Linux 4.13.0
• Aplique el parche 0001-CVE-2017-5123-help-to-make-attack-safely.patch
• Compile el kernel de Linux con la configuración Kconfig
• Arranque el kernel y obtenga la dirección de dac_mmap_min_addr, have_canfork_callback, prepare_kernel_cred, commit_creds, set_fs_root, copy_fs_struct, current_task con los siguientes comandos. Actualice la dirección en CVE-2017-5123.c

echo 0 > /proc/sys/kernel/kptr_restrict
cat /proc/kallsyms

• gdb vmlinux
• Obtenga el tamaño de TASK_FS_OFFSET y actualice la dirección en CVE-2017-5123.c

(gdb) p &(((struct task_struct *)0)->fs)

• Obtenga el tamaño de TASK_PARENT_OFFSET y actualice la dirección en CVE-2017-5123.c

(gdb) p &(((struct task_struct *)0)->parent)

• Obtenga el tamaño de FS_ROOT_OFFSET y actualice la dirección en CVE-2017-5123.c

(gdb) p &(((struct fs_struct *)0)->root)

• Compile CVE-2017-5123.c con --static y coloque el archivo binario en una imagen de docker.
• Arranque el kernel con la opción de línea de comandos del kernel "nosmep".
• Ahora, use la imagen de docker rock and roll.

Acerca de este CVE

La implementación de waitid en los kernels upstream no restringía el destino objetivo para copiar los resultados de la información. Esto puede permitir a los usuarios locales escribir en memoria del kernel que de otro modo está protegida, lo que puede conducir a una escalada de privilegios.
El error se introdujo el 2017-05-21 y se corrigió el 2017-10-09.

Este CVE ya ha sido corregido en las versiones posteriores de la rama 4.13 y en los kernels mainline más recientes. Sin embargo, pueden existir CVEs similares que permitan la escalada de privilegios. El CVE en sí es bastante similar al famoso dirty cow, CVE-2016-5195 en realidad.

Más información

CVE-2017-5123.c usa esta vulnerabilidad para cambiar el valor de /proc/sys/vm/mmap_min_addr. Luego permite que el kernel de Linux llame al shellcode para obtener el permiso de acceso a archivos de la raíz del host.