Équipe CVE-MD

Ce dépôt fournit une preuve de concept pour CVE-2023-0386 : https://nvd.nist.gov/vuln/detail/CVE-2023-0386

Membres de l'équipe : Bǎnicǎ Dragoș-Marius et Borsos Matheas-Roland

Voici la vidéo : https://www.youtube.com/watch?v=Ikux1rjIYP0

CVE-2023-0386 — Escalade de privilèges locale Linux OverlayFS (PoC)

Aperçu

Ce dépôt contient un exploit preuve de concept (PoC) pour CVE-2023-0386, une vulnérabilité d'escalade de privilèges locale dans le sous-système OverlayFS du noyau Linux.

La vulnérabilité permet à un utilisateur local non privilégié d'élever ses privilèges à root en exploitant une gestion incorrecte des capacités des fichiers et de la propriété lors des opérations copy-up d'OverlayFS. Le PoC montre comment une configuration OverlayFS soigneusement élaborée peut produire un exécutable qui conserve des privilèges élevés, même lorsqu'il est copié à partir d'un montage nosuid.

Contexte de la vulnérabilité

Qu'est-ce qu'OverlayFS ?

OverlayFS est un système de fichiers union utilisé pour combiner plusieurs arborescences de répertoires en une seule vue unifiée. Il est largement utilisé dans :

• Les conteneurs (Docker, Kubernetes)
• Les systèmes de sandboxing
• Les dispositions de système d'exploitation immuables

OverlayFS se compose de :

• Couche inférieure (lecture seule)
• Couche supérieure (écriture)
• Vue fusionnée

Lorsqu'un fichier de la couche inférieure est modifié, OverlayFS effectue une opération copy-up : le fichier est copié dans la couche supérieure puis modifié là-bas.

Cause racine de CVE-2023-0386

La vulnérabilité réside dans la manière dont OverlayFS gère les métadonnées des fichiers pendant le copy-up, en particulier :

• Les capacités des fichiers (par exemple, CAP_SETUID)
• Les bits de propriété et de permission
• Les interactions avec les options de montage nosuid
• Les mappages UID/GID des espaces de noms utilisateur

Dans les versions du noyau concernées :

• OverlayFS ne parvient pas à supprimer correctement les capacités lors de la copie de fichiers depuis une couche inférieure nosuid.
• Dans certaines conditions, le fichier copié conserve des attributs élevés.
• L'exécution de ce fichier permet une escalade vers root.

Cela brise l'hypothèse de sécurité selon laquelle les montages nosuid empêchent l'escalade de privilèges.

Structure du dépôt

CVE-2023-0386_POC/
├── exp.c # Main exploit logic
├── fuse.c # User-space filesystem helper (FUSE)
├── getshell.c # Privilege escalation payload
├── ovlcap/ # OverlayFS capability test utilities
│ ├── Makefile
│ └── ...
├── Makefile # Top-level build instructions
└── README.md

Déroulement de l'exploit de haut niveau

1. Configuration du système de fichiers contrôlé

• Un système de fichiers FUSE est monté pour simuler une couche inférieure nosuid.
• OverlayFS est configuré avec une couche supérieure accessible en écriture.

2. Binaire porteur de capacités

• Un binaire avec des capacités de fichier est placé dans la couche inférieure.

3. Déclenchement du copy-up

• OverlayFS copie le fichier dans la couche supérieure.
• En raison de la vulnérabilité, l'élimination des capacités est incomplète.

4. Escalade de privilèges

• Le binaire copié est exécuté.
• Le noyau accorde par erreur des privilèges élevés.
• Un shell root est créé.

Preuve de concept

Configuration système requise

• VM avec Ubuntu 22.04
• Un noyau vulnérable (5.15.0-25-generic)
• Support FUSE activé
• Outils de développement :
  • gcc
  • make
  • libfuse-dev (ou équivalent)
  • libcap-dev (ou équivalent)

Construction

git clone https://github.com/dragosbanica/CVE-2023-0386_POC.git
cd CVE-2023-0386_POC
make all

Utilisation

Ouvrez deux terminaux et dans le premier tapez

./fuse ./ovlcap/lower ./gc

Dans le deuxième terminal tapez

./exp