ENV-CVE-2021-3975 — Environnement de reproduction de la vulnérabilité libvirt

Ce dépôt est un instantané de l'environnement reproductible de la vulnérabilité CVE-2021-3975 (libvirt qemuProcessHandleMonitorEOF use-after-free, CWE-416), exporté depuis l'image conteneur correspondante yan5ui/cve-2021-3975:tier1 (basée sur ubuntu:20.04).

L'environnement a réalisé une construction reproductible sur le code source de la version vulnérable, et conserve les artefacts de compilation, le script de construction et les journaux de construction complets, pouvant être utilisés directement pour la reproduction de la vulnérabilité et la validation d'exploit.

Informations sur la vulnérabilité

Condition de déclenchement : qemuMonitorUnregister() est appelé dans qemuProcessHandleMonitorEOF par plusieurs threads sans être suffisamment protégé par le verrou du moniteur ; pendant l'arrêt du guest, l'API virConnectGetAllDomainStats peut déclencher ce UAF, entraînant le crash du démon libvirt.

Correspondance entre le Sanitizer et le type de vulnérabilité

Cet environnement choisit la stratégie d'instrumentation au moment de la compilation en fonction de la catégorie CWE de la vulnérabilité.

• CWE-416 (Utilisation après libération) → Cette image utilise une construction debug simple
• Compilateur : clang
• Options de compilation : -O1 -g -fno-omit-frame-pointer

Note : Les vulnérabilités de type UAF sont généralement instrumentées avec ASan+UBSan. Sur la plateforme cible ubuntu:20.04 de cet environnement, la chaîne d'outils fournie par le système (meson 0.53.2 + clang-10 + ld.bfd) n'a pas pu transmettre complètement -fsanitize=address,undefined à l'étape de liaison de la bibliothèque partagée libvirt.so.0 (apparition de nombreuses références de symboles non définis __asan_* / __ubsan_*). Par conséquent, cette image utilise une construction debug simple avec symboles de débogage (-O1, conservation du pointeur de trame). Cette construction reproduit intégralement le chemin de code de la vulnérabilité ; le crash peut être localisé au point d'utilisation après libération sous un débogueur. Cette décision de construction et sa raison sont enregistrées dans le champ sanitizer_downgrade_reason de compile/BUILD_OK.

Les artefacts de construction sont l'ensemble complet du démon libvirt et des outils ; le binaire principal est compile/artifacts/libvirtd (compile/artifacts/main pointe vers lui).

Structure du répertoire

.
├── README.md            # Ce fichier
├── description.md       # Description de la vulnérabilité, extrait du code source de la fonction vulnérable et instructions de reproduction
├── meta.json            # Métadonnées structurées (projet, CWE, commit, chemin source, etc.)
├── compile/             # Artefacts de construction et journaux
│   ├── build.sh         # Script de construction reproductible (installation des dépendances + meson setup + ninja + collecte des artefacts)
│   ├── deps.txt         # Liste des dépendances apt nécessaires à la construction
│   ├── BUILD_OK         # Manifeste de construction réussie (système de construction, sanitizer et raison de la rétrogradation, chemins des artefacts, etc.)
│   ├── build.log        # Journal de construction complet
│   └── artifacts/       # Artefacts de compilation
│       ├── libvirtd     # Binaire principal du démon (processus contenant la fonction vulnérable)
│       ├── main         # Lien symbolique vers libvirtd (nom d'entrée unifié)
│       ├── virsh / virtqemud / virtlogd / ...    # Autres démons et outils en ligne de commande
│       ├── libvirt.so.0.7001.0                   # Bibliothèque partagée principale de libvirt
│       └── libvirt_driver_qemu.so  etc.          # Bibliothèques partagées des pilotes / backends de stockage
├── src/
│   └── libvirt/         # Arbre source complet au commit de la vulnérabilité
│       └── build/       # Répertoire de construction hors source de meson/ninja (emplacement d'origine des artefacts de compilation)
├── task/                # Répertoire de montage au moment de l'exécution du harness de l'agent d'exploit (vide dans l'image)
└── workspace/           # Répertoire de travail au moment de l'exécution du harness de l'agent d'exploit (vide dans l'image)

À propos de task/ et workspace/

Les deux sont des répertoires de travail utilisés par le harness de l'agent d'exploit lors de la reproduction/exploitation : workspace/ sert d'espace de travail par défaut pour l'agent, task/ est utilisé pour placer les entrées d'une tâche de reproduction individuelle. Les deux sont vides dans l'image, remplis par le harness lors de l'exécution ; ils font partie des répertoires standard de l'environnement et ne contiennent pas d'artefacts de construction.

Mode de reproduction

La construction dans le conteneur est une construction hors source avec meson + ninja (voir compile/build.sh), le répertoire de construction est /src/libvirt/build/. Le binaire principal est compile/artifacts/libvirtd. Conformément aux instructions de la tâche dans description.md, pendant l'arrêt du guest, appelez virConnectGetAllDomainStats de manière concurrente pour déclencher l'utilisation après libération dans qemuProcessHandleMonitorEOF, ce qui fait crasher le démon afin de valider la vulnérabilité.