CVE-2017-7184 – लिनक्स कर्नेल XFRM विशेषाधिकार वृद्धि (कोई सुडो नहीं)

अवलोकन

इस रिपॉजिटरी में CVE-2017-7184 के लिए एक प्रमाण-अवधारणा स्थानीय विशेषाधिकार वृद्धि शोषण है, जो XFRM (IPsec) नेटलिंक उपप्रणाली में एक लिनक्स कर्नेल भेद्यता है।

शोषण दर्शाता है कि कैसे एक अननुदानित उपयोगकर्ता निम्नलिखित द्वारा वास्तविक रूट (UID 0) प्राप्त कर सकता है:

1. एक अननुदानित उपयोगकर्ता + नेटवर्क नामस्थान बनाना

2. नामस्थान के अंदर CAP_NET_ADMIN प्राप्त करना

3. XFRM नेटलिंक हैंडलिंग में कर्नेल स्टैक ओवरफ्लो ट्रिगर करना

4. कॉल करने के लिए एक कर्नेल ROP श्रृंखला निष्पादित करना:

   • prepare_kernel_cred(NULL)
   • commit_creds()

5. पूर्ण रूट विशेषाधिकारों के साथ उपयोगकर्ता भूमि पर सुरक्षित वापस लौटना

कोई सुडो आवश्यक नहीं है।

भेद्यता विवरण

शोषण रणनीति (उच्च-स्तर)

1. अननुदानित उपयोगकर्ता नामस्थान

   • unshare(CLONE_NEWUSER | CLONE_NEWNET) का उपयोग करता है
   • वर्तमान उपयोगकर्ता को नामस्थान के अंदर UID 0 में मैप करता है
   • बिना सुडो के CAP_NET_ADMIN प्रदान करता है

2. XFRM नेटलिंक दुरुपयोग

   • NETLINK_XFRM सॉकेट बनाता है
   • दूषित XFRM_MSG_NEWSA संदेश भेजता है
   • बड़े आकार की विशेषताओं के माध्यम से कर्नेल स्टैक ओवरफ्लो ट्रिगर करता है

3. कर्नेल ROP निष्पादन

   • कर्नेल स्टैक को अधिलेखित करता है
   • नियंत्रित ROP श्रृंखला निष्पादित करता है
   • कर्नेल संदर्भ में प्रमाण-पत्रों को ऊपर उठाता है

4. उपयोगकर्ता भूमि पर वापसी

   • swapgs; iretq का उपयोग करता है
   • इंटरैक्टिव रूट शेल उत्पन्न करता है

आवश्यकताएँ

• भेद्य लिनक्स कर्नेल (4.8.0-36-generic पर परीक्षण किया गया)
• unprivileged_userns_clone = 1
• कर्नेल प्रतीक उपलब्ध या ज्ञात ऑफ़सेट
• pthread समर्थन के साथ gcc

नामस्थान समर्थन की जाँच करें:

cat /proc/sys/kernel/unprivileged_userns_clone

अपेक्षित आउटपुट:

1

संकलन

gcc exploit.c -o exploit -pthread

निष्पादन

./exploit

सुडो का उपयोग न करें।

यदि सफल हो, तो आपको एक वास्तविक रूट शेल प्राप्त होगा:

uid=0(root) gid=0(root) groups=0(root)

कर्नेल पता समाधान

शोषण प्रयास करता है:

1. /proc/kallsyms से प्रतीक लीक करें

2. यदि प्रतिबंधित हो, तो हार्डकोडेड ऑफ़सेट पर वापस आएं:

   • commit_creds
   • prepare_kernel_cred
   • कर्नेल आधार

⚠️ ROP गैजेट और ऑफ़सेट कर्नेल-संस्करण विशिष्ट हैं। आपको उन्हें अन्य बिल्ड के लिए समायोजित करना होगा।

अपेक्षित परिणाम

पूर्णतः सफल शोषण

• UID = 0
• GID = 0
• इंटरैक्टिव रूट शेल

आंशिक सफलता (अभी भी भेद्य)

• नामस्थान निर्माण काम करता है
• XFRM सॉकेट निर्माण सफल होता है
• ओवरफ्लो पेलोड भेजा जाता है
• कर्नेल क्रैश या कोई विशेषाधिकार वृद्धि नहीं

यह अभी भी पुष्टि करता है कि सिस्टम भेद्य है।

सीमाएँ

• हार्डकोडेड ROP गैजेट (कर्नेल-विशिष्ट)
• kallsyms से परे कोई KASLR बाईपास नहीं
• कठोर कर्नेल के लिए कोई SMEP/SMAP बाईपास नहीं
• आधुनिक कर्नेल पर विश्वसनीय नहीं

शमन

• कर्नेल को पैच किए गए संस्करण में अपडेट करें
• अननुदानित उपयोगकर्ता नामस्थान अक्षम करें:

sysctl -w kernel.unprivileged_userns_clone=0

• KASLR, SMEP, SMAP सक्षम करें
• नेटलिंक क्षमताओं को प्रतिबंधित करें

अस्वीकरण

यह कोड केवल शैक्षिक और सुरक्षा अनुसंधान उद्देश्यों के लिए प्रदान किया गया है।

• उन सिस्टम पर उपयोग न करें जिनके आप मालिक नहीं हैं या जिनका परीक्षण करने की अनुमति नहीं है
• लेखक दुरुपयोग या क्षति के लिए कोई जिम्मेदारी नहीं लेता है
• कर्नेल शोषण तकनीक सीखने के लिए अभिप्रेत है

संदर्भ

• CVE-2017-7184
• लिनक्स कर्नेल XFRM उपप्रणाली
• उपयोगकर्ता नामस्थान विशेषाधिकार वृद्धि
• कर्नेल ROP और commit_creds शोषण