sastraadiwiguna-purpleeliteteaming/holistic-deconstruction-of-cve-2019-5736-
यह रिपॉजिटरी CVE-2019-5736 के लिए एक उच्च-निष्ठा तकनीकी डिकंस्ट्रक्शन और प्रोडक्शन-रेडी एक्सप्लॉइटेशन सूट प्रदान करती है। यह दर्शाती है कि कंटेनर के अंदर एक रूट उपयोगकर्ता OverlayFS माउंट और ld.so.preload हेरफेर का उपयोग करके होस्ट runc बाइनरी को अधिलेखित करके होस्ट रूट शेल कैसे प्राप्त कर सकता है।
होस्ट रूट एस्केप का उन्नत पर्पल टीमिंग एवं फोरेंसिक विश्लेषण
इस रिपॉजिटरी में CVE-2019-5736 के लिए एक उच्च-विश्वसनीय डिकंस्ट्रक्शन और प्रूफ-ऑफ-कॉन्सेप्ट (PoC) शामिल है, जो runc (संस्करण 1.0-rc1 से 1.0-rc6) में एक गंभीर भेद्यता है। यह एक्सप्लॉइट रूट विशेषाधिकारों वाले एक दुर्भावनापूर्ण कंटेनर को होस्ट runc बाइनरी को अधिलेखित करने और पूर्ण होस्ट रूट एक्सेस प्राप्त करने की अनुमति देता है।
भेद्यता प्रकार: CWE-59 (फ़ाइल एक्सेस से पहले अनुचित लिंक समाधान)।
CVSSv3 स्कोर: 8.6 उच्च।
प्रभाव: पृथक कंटेनर नेमस्पेस से होस्ट ऑपरेटिंग सिस्टम तक पलायन।
यह एक्सप्लॉइट एक नियतिवादी बहु-चरण निष्पादन पथ का अनुसरण करता है:
नेमस्पेस मुक्ति: प्रारंभिक कंटेनर प्रतिबंधों को दरकिनार करते हुए एक नया माउंट नेमस्पेस बनाने के लिए unshare -rm का उपयोग करता है।
फाइलसिस्टम ब्रिजिंग: होस्ट रूट डायरेक्टरी (/) को एक लिखने योग्य कंटेनर-नियंत्रित डायरेक्टरी में माउंट करने के लिए OverlayFS का लाभ उठाता है।
डायनेमिक लिंकर अपहरण: प्रत्येक नई प्रक्रिया में एक दुर्भावनापूर्ण पेलोड (/bin/sh -p) इंजेक्ट करने के लिए होस्ट पर /etc/ld.so.preload को अधिलेखित करता है।
निष्पादन ट्रिगर: लोडर को ट्रिगर करने और होस्ट रूट शेल उत्पन्न करने के लिए एक मानक होस्ट बाइनरी (जैसे, /usr/bin/ping) निष्पादित करता है।
इसे एक नियंत्रित वातावरण (Ubuntu 18.04 + Docker 18.09.2) में परीक्षण करने के लिए:
# [cite_start]Setup vulnerable host [cite: 384-388]
docker run -d --name vuln_host --privileged ubuntu:18.04 sleep infinity
docker exec vuln_host apt update && apt install -y curl git
docker exec vuln_host curl -sSL https://get.docker.com | sh
होस्ट रूट प्राप्त करने के लिए भेद्य वातावरण के भीतर निम्नलिखित चलाएँ:
chmod +x runc_root_escape.sh
./runc_root_escape.sh
| लक्ष्य वातावरण | स्थिति | प्रभाव क्षमता
| | --- | --- | --- | | स्टैंडअलोन डॉकर | ✅ भेद्य | होस्ट अधिग्रहण, डेटा विनाश ($10M+) | | कुबरनेट्स क्लस्टर | ✅ पिवट के लिए तैयार | cluster-admin सीक्रेट चोरी ($50M+) | | पब्लिक क्लाउड (AWS/GCP) | ✅ भेद्य | IAM रोल चोरी, क्लाउड पिवट ($100M+) |
ब्लू टीम निगरानी के लिए, समझौते के इन संकेतकों (IoC) पर ध्यान दें:
फाइलसिस्टम: /etc/ld.so.preload में अप्रत्याशित राइट्स।
प्रक्रिया: कंटेनरों के भीतर unshare और mount कॉल की निगरानी।
इतिहास: /var/spool/cron/crontabs/root में स्वचालित पर्सिस्टेंस की जाँच करें।
यह सामग्री SASTRA_ADI_WIGUNA [Purple_Elite_Teaming] द्वारा केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए प्रदान की गई है। इस जानकारी का अवैध गतिविधियों के लिए उपयोग सख्त वर्जित है।
Falco/Sysdig डिटेक्शन नियमों को एकीकृत करें।
रेड टीम ऑप्स के लिए क्लीनअप स्क्रिप्ट्स को स्वचालित करें।
MITRE ATT&CK T1611 (Escape to Host) के विरुद्ध मैप करें।