Vulnerabilità di heap buffer overflow in glibc (CVE-2023-4911)

1. Panoramica

CVE-2023-4911 è una vulnerabilità di heap buffer overflow che si verifica quando il caricatore dinamico della GNU C Library (glibc) analizza la variabile d'ambiente GLIBC_TUNABLES. L'attaccante può sfruttare questo overflow per manipolare il percorso di ricerca delle librerie (RPATH) del caricatore dinamico, in modo che quando un binario SUID root (come su, sudo) viene eseguito, venga caricata al suo posto una libreria condivisa malevola preparata dall'attaccante, eseguendo codice arbitrario con privilegi di root. Poiché glibc è un componente fondamentale di quasi tutte le distribuzioni Linux, questa vulnerabilità ha interessato la maggior parte delle distribuzioni basate su glibc rilasciate dopo aprile 2021.

2. Parte del codice vulnerabile

while (true)
{
    char *name = p;
    size_t len = 0;

    /* 이름(name) 길이 찾기 */
    while (p[len] != '=' && p[len] != ':' && p[len] != '\0')
        len++;

    /* '=' 없이 끝나면 종료 */
    if (p[len] == '\0')
    {
        if (__libc_enable_secure)
            tunestr[off] = '\0';
        return;
    }

    /* ':'를 먼저 만나면 잘못된 항목 */
    if (p[len] == ':')
    {
        p += len + 1;
        continue;
    }

    /* '='를 만났으므로 value 시작으로 이동 */
    p += len + 1;

    /* 원본 문자열에서 value 계산 */
    char *value = &valstring[p - tunestr];

    len = 0;

    /* value 길이 찾기 */
    while (p[len] != ':' && p[len] != '\0')
        len++;

    ...
    /* tunestr에 복사 */
    ...

    if (p[len] != '\0')
        p += len + 1;
}

3. Analisi della causa

3.1 Flusso di elaborazione normale

1. __tunables_init() trova GLIBC_TUNABLES nell'elenco delle variabili d'ambiente.
2. tunables_strdup() alloca un buffer con __minimal_malloc() e copia la stringa originale (a questo punto malloc è un'implementazione molto precoce, non ancora completamente inizializzata).
3. parse_tunables() scorre questo buffer separato da : (due punti) e assegna il valore a ciascuna tupla key=value.

3.2 Punto di errore

parse_tunables() elabora una tupla nell'ordine: parsing del nome → sposta p → parsing del valore → sposta p. In un input normale, dopo aver elaborato il valore, p viene spostato all'inizio della tupla successiva per analizzare l'elemento successivo.

Tuttavia, quando viene fornito un input nella forma name=name=value, ad esempio:

GLIBC_TUNABLES=glibc.malloc.mxfast=glibc.malloc.mxfast=AAAA...(긴 문자열)

Durante il primo parsing, l'intero glibc.malloc.mxfast=AAAA... viene riconosciuto come un singolo valore e copiato nel buffer tunestr. Successivamente, poiché non c'è un due punti (:) che separi la tupla successiva dopo il valore, il puntatore di parsing (p) non si sposta all'elemento successivo, ma punta nuovamente all'inizio del valore già copiato.

Il problema è che questo valore stesso ha la forma name=value. Nell'iterazione successiva, il parser lo riconosce erroneamente come una nuova tupla e scrive i dati duplicati nel buffer. Poiché tunestr è stato allocato solo per la dimensione della stringa originale, si verifica una scrittura duplicata che causa un heap buffer overflow.

3.3 Effetti dell'overflow

L'heap buffer overflow sovrascrive le aree di heap adiacenti allocate consecutivamente da __minimal_malloc(). L'attaccante può sfruttare questo per modificare il puntatore l_info[DT_RPATH] della struttura interna link_map del caricatore dinamico (ld.so) con un indirizzo di stack controllato dall'attaccante.

Su quell'area di stack è posizionata una struttura Elf64_Dyn pre-manipolata, che specifica una directory arbitraria come nuovo percorso di ricerca delle librerie (RPATH). Di conseguenza, ld.so caricherà prioritariamente la libreria condivisa preparata dall'attaccante invece delle librerie di sistema normali.

4. Catena di attacco

1. L'attaccante costruisce una variabile d'ambiente GLIBC_TUNABLES nella forma name=name=value.
2. Con i privilegi di un utente normale, esegue un programma SUID (ad es. su).
3. Il kernel, a causa del bit SUID, imposta l'effective UID del processo a root, quindi esegue il caricatore dinamico (ld.so).
4. Si verifica l'heap buffer overflow in parse_tunables() di ld.so.
5. Utilizzando l'overflow, si modifica il puntatore l_info[DT_RPATH] di link_map puntando a un indirizzo di stack dove è posizionata una falsa struttura Elf64_Dyn preparata dall'attaccante.
6. ld.so utilizza le informazioni RPATH manipolate per caricare una libc.so.6 malevola preparata dall'attaccante.
7. Il codice di inizializzazione della libc.so.6 malevola (o la routine di avvio alterata) viene eseguito con privilegi di root, eseguendo setuid(0), setgid(0) e l'esecuzione di .

Il PoC utilizza un brute-force che ripete execve() fino a quando non si forma il layout di memoria desiderato a causa dell'ASLR (randomizzazione). Pertanto, il successo dell'attacco e il tempo necessario possono variare a seconda dell'ambiente; in genere sono necessari da centinaia a migliaia di tentativi.

5. Condizioni di riproducibilità

• Deve esistere un binario con capacità di escalation dei privilegi come SUID, SGID.
• L'attaccante deve essere in grado di eseguire quel binario con variabili d'ambiente arbitrarie.
• La versione di glibc deve essere precedente alla patch.

6. Riproduzione dell'ambiente di test (PoC)

Per prima cosa, clonare il contenuto dal repository git nella directory:

git clone https://github.com/baeseungwon1010/CVE-2023-4911

Costruire l'immagine Docker con il comando seguente:

cd C* && docker compose run --rm cve-2023-4911-lab

Dopo essere entrati nel container, eseguire il codice di exploit:

cd /home/student/exploit && ./exp

Attendere; dopo l'esecuzione, si vedrà che l'utente normale è diventato sudo(0).

7. Misure di mitigazione

Applicare la patch aggiornando glibc dalla versione vulnerabile a quella superiore. Dopo l'aggiornamento, se possibile, riavviare/riavviare il sistema per assicurarsi che la versione precedente di glibc non rimanga in memoria. Se non è possibile applicare immediatamente la patch, una soluzione temporanea consiste nell'eliminare i processi SUID, SGID non necessari.

8. Riferimenti

• NVD: CVE-2023-4911
• Ubuntu Security Notice: CVE-2023-4911
• leesh3288/CVE-2023-4911 PoC
• Debian Sources - glibc 2.28-10 dl-tunables.c