CVE-2024-0582

Une attaque uniquement par données basée sur CVE-2024-0582

Description

L'exploit suit la stratégie décrite dans cet article de blog, à l'exception que je n'ai pas utilisé de processus enfant pour ouvrir des fichiers.

J'ai trouvé certains exploits sur GitHub qui suivent la stratégie de cette analyse.

Après avoir reproduit l'exploit avec un détournement de flux de contrôle basé sur des sockets, j'ai essayé d'implémenter l'exploit avec une attaque uniquement par données, qui ne semble pas encore être open source.

Essayez Claude

J'ai fourni les deux analyses ci-dessus et https://github.com/ysanatomic/io_uring_LPE-CVE-2024-0582/blob/main/exploit.c à Claude en disant :

Pourriez-vous modifier le code pour qu'il corresponde à l'attaque uniquement par données ? Cela signifie ouvrir un fichier au lieu d'un socket, chercher ext4_file_operations au lieu de egg, supprimer le détournement de flux de contrôle et modifier les permissions du fichier.

Cela a généré un code avec un processus enfant. Mais je pense qu'il est difficile de déboguer si j'utilise un processus enfant. J'ai donc dit :

Pourquoi ne pas ouvrir le fichier dans le processus, sans utiliser un enfant ?

Ensuite, il a généré presque le code existant.

Puis j'ai :

1. Ajusté la chaîne de backdoor pour une compréhension plus facile.
2. Ajusté les indicateurs de mode de fichier en fonction du code source. Ce que Claude a généré était incorrect.
3. Augmenté le nombre de descripteurs de fichiers pour pulvériser plus de structures de fichier, car c'est beaucoup plus court que la structure de socket.

Utilisation

1. Vérifiez le ext4_fops_offset.
2. Vérifiez les indicateurs de mode de fichier.
3. Augmentez peut-être le nombre de descripteurs de fichiers pour pulvériser plus de structures de fichier.
4. Compilez et exécutez.

gcc exploit.c -o exploit -luring
./exploit

5. Vérifiez l'utilisateur backdoor. Ou simplement déconnectez-vous puis reconnectez-vous avec l'utilisateur backdoor.

sudo cat /etc/passwd # Si vous pouvez utiliser sudo