IPV6_FRAG_ESCAPE

CentOS / RHEL 10 के लिए एक विश्वसनीय विशेषाधिकार-रहित कंटेनर / जेल एस्केप प्रमाण-अवधारणा।

यह __ip6_append_data() में एक अब ठीक किए गए IPv6 विखंडन बग का उपयोग करता है (ऊपरधारा द्वारा 38becddc में बंद, कोई CVE नहीं), एक इन-स्लैब रैखिक ओवरफ्लो जो पैकेट के अपने हेड ऑब्जेक्ट के पूंछ पर skb_shared_info में होता है। यह README केवल शोषण श्रृंखला का दस्तावेजीकरण करता है। यह ट्रिगर को कवर नहीं करता है।

दायरा

• लक्ष्य: CentOS / RHEL 10 (कर्नेल 6.12.x, जैसे 6.12.0-242.el10)।
• शुरुआत: एक नेटवर्क-पृथक कंटेनर के अंदर एक विशेषाधिकार-रहित प्रक्रिया, जिसके पास विशेषाधिकार-रहित उपयोगकर्ता नामस्थानों तक पहुंच है।
• परिणाम: होस्ट के प्रारंभिक नामस्थानों और रूट फाइलसिस्टम में एक इंटरैक्टिव रूट शेल।

टिप्पणियाँ

यह एक प्रमाण-अवधारणा है, जानबूझकर एक टर्नकी हथियार नहीं। विश्वसनीयता मचान जानबूझकर छोड़ दिया गया है: कोई प्रति-सीपीयू PCP ग्रूमिंग नहीं, कोई क्रॉस-कैश SLUB कवच नहीं, और skb हेड को एक साझा, बहुत शांत नहीं कैश में रखा गया है। जो शिप होता है वह श्रृंखला को साबित करने के लिए पर्याप्त बार फायर करता है, और इससे अधिक नहीं। यह केवल CentOS / RHEL 10 तक सीमित है।

आवश्यकताएँ

• CONFIG_INIT_ON_ALLOC_DEFAULT_ON बंद, RHEL / CentOS डिफ़ॉल्ट। यह PoC अप्रारंभीकृत स्लैब बाइट्स में एक बासी पॉइंटर लगाता है; init_on_alloc=1 के साथ वह स्लॉट शून्य हो जाता है और यह विशेष तकनीक केवल कर्नेल को क्रैश करती है (एक NULL डीरेफ़)। यह तकनीक की एक सीमा है, बग की नहीं: एक पूर्ण शोषण जो उन कर्नेल को भी कवर करता है, एक अलग तकनीक के साथ, एक बार सुधार और CVE सार्वजनिक होने के बाद आएगा।
• 5-स्तरीय पेजिंग (LA57, 57-बिट रैखिक पते)। पृष्ठ तालिका वॉक पांच स्तरों के लिए वायर है और एक स्टार्टअप जांच इसके बिना चलने से मना कर देती है। 4-स्तरीय CPU को वॉक को रीफैक्टर करने की आवश्यकता होगी।
• /sys/kernel/btf/vmlinux मौजूद और विश्व-पठनीय (RHEL / CentOS पर स्टॉक)।

परीक्षण किए गए कर्नेल

शोषण श्रृंखला

1. इन-स्लैब ओवरफ्लो से स्व-यूएएफ। बग skb_shared_info में एकल nr_frags बाइट पर नियंत्रण देता है। मुक्त पथ (skb_release_data()) frags[0 .. nr_frags) को चलता है और प्रत्येक प्रविष्टि पर put_page() करता है, और frags[] कभी प्रारंभ नहीं होता है। हम नियंत्रित कैश पुन: उपयोग के माध्यम से उस स्लैब स्लॉट में पाइप बफर पेज के लिए एक struct page * पहले से लगाते हैं, फिर nr_frags को 1 पर सेट करते हैं, ताकि टियरडाउन एक पेज पर एक संदर्भ छोड़ दे जो हमारे पास अभी भी है। रैखिक ओवरफ्लो एक पेज उपयोग-के-बाद-मुक्त बन जाता है। ओवरफ्लो कभी frags[0] को नहीं छूता, इसलिए इसे स्प्रे के विरुद्ध समयबद्ध करने की आवश्यकता नहीं है, जो इसे क्षमाशील बनाता है।

2. पेज यूएएफ से डर्टी-पेजटेबल। मुक्त पाइप पेज को एक ताजा अनाम मैपिंग को फॉल्ट करके अंतिम-स्तरीय पृष्ठ तालिका के रूप में पुनः प्राप्त किया जाता है। एक भौतिक पेज अब एक लाइव लीफ पृष्ठ तालिका और वह पेज दोनों है जिसे पाइप अभी भी पढ़ता और लिखता है। पाइप पर आठ बाइट्स लिखने से एक जाली PTE स्थापित होता है; पाइप पढ़ने से तालिका वापस पढ़ी जाती है। यह एक सीमित मनमाना भौतिक पढ़ना/लिखना है, प्रति तालिका लगभग 460 PTE विंडो के क्रम में।

3. KASLR को पराजित करें। भौतिक पढ़ने के साथ हम निश्चित निम्न-मेमोरी SMP ट्रैम्पोलिन पृष्ठ तालिका को स्कैन करते हैं, जिसे KASLR कभी स्थानांतरित नहीं करता; इसका कर्नेल आधा प्रविष्टि , कर्नेल के भौतिक आधार पर इंगित करता है। वहाँ से (अपनी स्व-संदर्भित प्रविष्टि 511 द्वारा पहचानने योग्य) एक सार्वभौमिक वर्चुअल से भौतिक अनुवादक है, जो कर्नेल वर्चुअल बेस को पुनर्प्राप्त करता है और हमारे पता स्थान को भौतिक मेमोरी से जोड़ता है।