Squadra CVE-MD

Questo repository fornisce una prova di concetto per CVE-2023-0386: https://nvd.nist.gov/vuln/detail/CVE-2023-0386

Membri del team: Bǎnicǎ Dragoș-Marius e Borsos Matheas-Roland

Ecco il video: https://www.youtube.com/watch?v=Ikux1rjIYP0

CVE-2023-0386 — Escalation dei privilegi locale in Linux OverlayFS (PoC)

Panoramica

Questo repository contiene un exploit proof-of-concept (PoC) per CVE-2023-0386, una vulnerabilità di escalation locale dei privilegi nel sottosistema OverlayFS del kernel Linux.

La vulnerabilità consente a un utente locale non privilegiato di elevare i propri privilegi a root sfruttando una gestione errata delle capacità dei file e della proprietà durante le operazioni di copy-up di OverlayFS. Il PoC dimostra come una configurazione OverlayFS accuratamente predisposta possa produrre un eseguibile che conserva privilegi elevati, anche se copiato da un mount nosuid.

Contesto della Vulnerabilità

Cos'è OverlayFS?

OverlayFS è un filesystem union utilizzato per combinare più alberi di directory in un'unica vista unificata. È ampiamente utilizzato in:

• Container (Docker, Kubernetes)
• Sistemi di sandboxing
• Layout di sistemi operativi immutabili

OverlayFS è composto da:

• Livello inferiore (sola lettura)
• Livello superiore (scrivibile)
• Vista unificata

Quando un file del livello inferiore viene modificato, OverlayFS esegue un'operazione di copy-up: il file viene copiato nel livello superiore e poi modificato lì.

Causa Principale di CVE-2023-0386

La vulnerabilità risiede in come OverlayFS gestisce i metadati dei file durante il copy-up, in particolare:

• Capacità dei file (es. CAP_SETUID)
• Proprietà e permessi
• Interazioni con le opzioni di mount nosuid
• Mappature UID/GID dei namespace utente

Nelle versioni del kernel interessate:

• OverlayFS non riesce a rimuovere correttamente le capacità quando copia file da un livello inferiore nosuid.
• In determinate condizioni, il file copiato conserva attributi elevati.
• L'esecuzione di questo file consente l'escalation a root.

Ciò rompe l'assunzione di sicurezza che i mount nosuid impediscano l'escalation dei privilegi.

Struttura del Repository

CVE-2023-0386_POC/
├── exp.c # Main exploit logic
├── fuse.c # User-space filesystem helper (FUSE)
├── getshell.c # Privilege escalation payload
├── ovlcap/ # OverlayFS capability test utilities
│ ├── Makefile
│ └── ...
├── Makefile # Top-level build instructions
└── README.md

Flusso dell'Exploit ad Alto Livello

1. Configurazione Controllata del Filesystem

• Un filesystem FUSE viene montato per simulare un livello inferiore nosuid.
• OverlayFS viene configurato con un livello superiore scrivibile.

2. Binario con Capacità

• Un binario con capacità di file viene posizionato nel livello inferiore.

3. Attivazione del Copy-Up

• OverlayFS copia il file nel livello superiore.
• A causa della vulnerabilità, la rimozione delle capacità è incompleta.

4. Escalation dei Privilegi

• Il binario copiato viene eseguito.
• Il kernel concede erroneamente privilegi elevati.
• Viene generata una shell root.

Prova di Concetto

Requisiti di Sistema

• VM con sistema operativo Ubuntu 22.04
• Un kernel vulnerabile (5.15.0-25-generic)
• Supporto FUSE abilitato
• Strumenti di sviluppo:
  • gcc
  • make
  • libfuse-dev (o equivalente)
  • libcap-dev (o equivalente)

Compilazione

git clone https://github.com/dragosbanica/CVE-2023-0386_POC.git
cd CVE-2023-0386_POC
make all

Come utilizzare

Avviare due terminali e nel primo digitare

./fuse ./ovlcap/lower ./gc

Nel secondo terminale digitare

./exp