CVE-2019-5736-Sandbox-Personnalisée

Général

CVE-2019-5736 implémentée à l'aide d'un runtime de conteneur superficiel et auto-écrit pour comprendre l'exploit.

L'exploit est basé sur (et presque entièrement copié de) le runc-poc par twistlock : https://github.com/twistlock/RunC-CVE-2019-5736/tree/master/malicious_image_POC

Runtime de conteneur (quarantine)

Voir la documentation du code pour plus de détails.

Usage: quarantine [OPTIONS] [BINARY and its ARGS]

--rootfs: (mandatory) Specify a rootfs for the container.
--urange: Specify a urange start_host:end_host,start_guest.
--grange: Specify a grange start_host:end_host,start_guest.
--uid:    Specify the desired UID in the container.
--ugd:    Specify the desired GID in the container.
--supp:   Append supplementary groups from the specified grange to the process running in the container.

Détache tous les espaces de noms sauf l'espace de noms utilisateur. L'espace de noms utilisateur est détaché dans des circonstances spéciales, c'est-à-dire lorsque urange, grange, uid et/ou gid sont spécifiés.

Configuration pour l'exploit

Cela a été testé et réalisé sur Ubuntu 18.04.

1. Obtenez un rootfs (bionic par exemple)
   • mkdir rootfs
   • sudo debootstrap bionic ./rootfs
2. Obtenez la source libcap
   • git clone https://github.com/mhiramat/libcap
3. Modifiez libcap
   • cat exploit_code_for_shared_lib.c >> <n'importe quel cap*.c, j'ai utilisé cap_alloc.c>
   • make
4. Faites un chroot dans le rootfs et installez libcap-dev pour pouvoir simplement lier à la libcap.so modifiée
   • sudo chroot rootfs
   • apt install libcap-dev
5. Copiez le fichier libcap.so.2.25 créé dans le répertoire rootfs approprié -sudo cp libcap.so.2.25 rootfs/lib/x86_64-linux-gnu
   • Remarque : Pour moi, il y avait déjà un lien pointant vers cette version exacte du fichier libcap, donc je n'ai pas eu besoin de le lier
   • Remarque : Ce chemin peut changer, regardez toujours où le quarantine compilé attend libcap : ldd quarantine
6. Compilez et copiez les autres fichiers dans le rootfs
   • sudo cp shebang_exploit rootfs/
   • sudo gcc -o rootfs/root/payload payload.c
   • sudo gcc -o rootfs/overwrite_sndbx_runtime overwrite_sndbx_runtime.c

Exécuter l'exploit

Par exemple : sudo ./quarantine --rootfs rootfs /shebang_exploit ou ./quarantine --rootfs rootfs --uid 1 /shebang_exploit.

Cela fonctionne tant que vous conservez soit CAP_DAC_OVERRIDE soit CAP_SYS_ADMIN sur l'hôte, c'est-à-dire ne pas détacher l'espace de noms utilisateur lors de l'utilisation de sudo (car cela supprime les capacités dans l'espace de noms parent), ou que vous possédez le fichier sur l'hôte.