= doi.org/10.5281/zenodo.18304765

= orcid.org/0009-0007-7728-256X

README.md

💀 CVE-2019-5736 : Déconstruction de l'évasion de conteneur runc

Analyse avancée d'équipe violette et forensique de l'évasion racine de l'hôte

🛡️ Présentation

Ce dépôt contient une déconstruction haute fidélité et une preuve de concept (PoC) pour la CVE-2019-5736, une vulnérabilité critique dans runc (versions 1.0-rc1 à 1.0-rc6). Cette exploitation permet à un conteneur malveillant disposant de privilèges root d'écraser le binaire runc de l'hôte et d'obtenir un accès root complet à l'hôte.

• Type de vulnérabilité : CWE-59 (Résolution incorrecte des liens avant accès au fichier).
• Score CVSSv3 : 8.6 ÉLEVÉ.
• Impact : Évasion des espaces de noms isolés du conteneur vers le système d'exploitation hôte.

🛠️ Chaîne technique d'attaque (Enchaînement de pensée)

L'exploitation suit un chemin d'exécution déterministe en plusieurs étapes :

1. Libération de l'espace de noms : Utilise unshare -rm pour créer un nouvel espace de noms de montage, contournant les restrictions initiales du conteneur.
2. Pontage du système de fichiers : Exploite OverlayFS pour monter le répertoire racine de l'hôte (/) dans un répertoire contrôlé par le conteneur et inscriptible.
3. Détournement de l'éditeur de liens dynamique : Écrase /etc/ld.so.preload sur l'hôte afin d'injecter une charge utile malveillante (/bin/sh -p) dans chaque nouveau processus.
4. Déclenchement d’exécution : Exécute un binaire hôte standard (par ex. /usr/bin/ping) pour déclencher le chargeur et générer un shell root de l'hôte.

🚀 Déploiement prêt pour la production

1. Configuration de l'environnement de laboratoire (Docker vulnérable)

Pour tester ceci dans un environnement contrôlé (Ubuntu 18.04 + Docker 18.09.2) :

# [cite_start]Setup vulnerable host [cite: 384-388]
docker run -d --name vuln_host --privileged ubuntu:18.04 sleep infinity
docker exec vuln_host apt update && apt install -y curl git
docker exec vuln_host curl -sSL https://get.docker.com | sh

2. Exécuter la charge utile d'évasion

Exécutez la commande suivante dans l'environnement vulnérable pour obtenir un root hôte :

chmod +x runc_root_escape.sh
./runc_root_escape.sh

📊 Matrice d'impact (Business et technique)

🔍 Détection et artefacts forensiques

Pour la surveillance équipe bleue, concentrez-vous sur ces indicateurs de compromission (IoC) :

• Système de fichiers : Écritures inattendues dans /etc/ld.so.preload.
• Processus : Surveillance des appels unshare et mount dans les conteneurs.
• Historique : Vérifier la persistance automatisée dans /var/spool/cron/crontabs/root.

⚖️ Avertissement

Ce contenu est fourni par SASTRA_ADI_WIGUNA [Purple_Elite_Teaming] à des fins éducatives et de tests de sécurité autorisés uniquement. L'utilisation de ces informations pour des activités illégales est strictement interdite.

📋 Liste de tâches / Prochaines étapes

• Intégrer les règles de détection Falco/Sysdig.
• Automatiser les scripts de nettoyage pour les opérations d'équipe rouge.
• Cartographie avec MITRE ATT&CK T1611 (Évasion vers l'hôte).