README

Remarque : Le code dans ce dépôt est destiné à démontrer l'isolation des technologies de bac à sable (sandbox) sécurisées pour pods, telles que kata containers, et n'a pas l'intention d'attaquer des plateformes.

Comment reproduire

• Obtenez le noyau Linux 4.13.0
• Appliquez le correctif 0001-CVE-2017-5123-help-to-make-attack-safely.patch
• Compilez le noyau Linux avec la configuration Kconfig
• Démarrez le noyau et obtenez l'adresse de dac_mmap_min_addr, have_canfork_callback, prepare_kernel_cred, commit_creds, set_fs_root, copy_fs_struct, current_task avec les commandes suivantes. Mettez à jour l'adresse dans CVE-2017-5123.c

echo 0 > /proc/sys/kernel/kptr_restrict
cat /proc/kallsyms

• gdb vmlinux
• Obtenez la taille de TASK_FS_OFFSET et mettez à jour l'adresse dans CVE-2017-5123.c

(gdb) p &(((struct task_struct *)0)->fs)

• Obtenez la taille de TASK_PARENT_OFFSET et mettez à jour l'adresse dans CVE-2017-5123.c

(gdb) p &(((struct task_struct *)0)->parent)

• Obtenez la taille de FS_ROOT_OFFSET et mettez à jour l'adresse dans CVE-2017-5123.c

(gdb) p &(((struct fs_struct *)0)->root)

• Compilez CVE-2017-5123.c avec --static et placez le fichier binaire dans une image Docker.
• Démarrez le noyau avec l'option de ligne de commande du noyau "nosmep".
• Maintenant, utilisez l'image Docker et c'est parti.

À propos de cette CVE

L'implémentation de waitid dans les noyaux amont ne restreignait pas la destination cible pour copier les résultats d'informations. Cela peut permettre aux utilisateurs locaux d'écrire dans la mémoire du noyau autrement protégée, ce qui peut conduire à une escalade de privilèges.
Le bogue a été introduit le 2017-05-21 et corrigé le 2017-10-09.

Cette CVE a déjà été corrigée dans les versions ultérieures de la branche 4.13 et les noyaux principaux plus récents. Cependant, il peut exister des CVE similaires permettant une escalade de privilèges. Cette CVE est en fait assez similaire à la célèbre dirty cow, CVE-2016-5195.

Plus d'informations

CVE-2017-5123.c utilise cette vulnérabilité pour modifier la valeur de /proc/sys/vm/mmap_min_addr. Ensuite, il laisse le noyau Linux appeler un shellcode pour obtenir la permission d'accès aux fichiers du root de l'hôte.