floatingguy/cve-2017-5123exploit del kernel Linux
Escalation dei privilegi in Linux che sfrutta la syscall waitid. L'exploit è portato a voi da @XeR_0x2A e @chaign_c di HexpressoTeam solo a scopo educativo.
Il bug è stato introdotto il 2017-05-21 e corretto il 2017-10-09; 4.14.0-rc4+ è noto come vulnerabile.
Se hai un livello principiante/intermedio di scrittura di exploit, ti incoraggiamo a sfruttarlo da solo prima di leggere la nostra implementazione. È un ottimo esercizio con una primitiva di exploit facile (scrittura arbitraria in memoria kernel scrivibile).
Sfidiamo anche @LiveOverflow a provarci.
Ecco la descrizione:
oss-security:
Ciao,Chris Salls ha scoperto che quando la syscall waitid() nel kernel Linux
v4.13 è stata rifattorizzata, ha accidentalmente smesso di controllare che
l'argomento in ingresso puntasse allo spazio utente. Questo ha permesso a
aggressori locali di scrivere direttamente nella memoria del kernel, il che
potrebbe portare a escalation dei privilegi.Introdotto da questo commit:
https://git.kernel.org/linus/4c48abe91be03d191d0c20cc755877da2cb35622Corretto con questo commit nel ramo principale:
https://git.kernel.org/linus/96ca579a1ecc943b75beba58bebb0356f6cc4b51Dovrebbe essere corretto nella release -stable (in futuro v4.13.7) presto:
https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux-stable.git/log/?h=linux-4.13.yGrazie,
waitid:
waitid -- attende che un processo figlio cambi stato.
int waitid(idtype_t idtype, id_t id, siginfo_t *infop, int options);
Il kernel non controlla se infop è un puntatore allo spazio del kernel o dell'utente, quindi possiamo sovrascrivere la memoria di qualsiasi pagina di memoria del kernel con permessi di scrittura. La parte divertente è che controlliamo solo parzialmente ciò che viene scritto.
Ci sono più di mille modi per sfruttarlo. Abbiamo deciso di trasformare questa primitiva di scrittura in un dereferenziamento di puntatore nullo. Abbiamo sovrascritto la variabile have_canfork_callback nella sezione .BSS del kernel. Impostare questa variabile a qualsiasi valore diverso da 0 (true) causerà la "chiamata di un callback non impostato (null) su un nuovo task prima che il processo sia esposto".
Grazie a Chris Salls e @kees_cook per aver condiviso il CVE.
Primo exploit "reale" del kernel Linux di @XeR_0x2A e @chaign_c di HexpressoTeam.
2017-10-22