CVE-2024-0582

Introduzione

Questo exploit implementa un metodo di attacco Dirty Cred per ottenere accesso in scrittura non autorizzato a /etc/passwd. A differenza di molti exploit simili che creano numerose pagine o spruzzano aggressivamente i file descriptor, questo approccio segue una via più mirata per corrompere le necessarie strutture del kernel.

Flusso dell'Exploit (Alto Livello)

• Imposta l'affinità della CPU e aumenta il limite dei FD
  Garantisce prestazioni stabili e un numero sufficiente di file descriptor per lo spray.

• Inizializza io_uring
  Crea un'istanza di io_uring e registra un buffer ring per l'uso della memoria del kernel.

• Annulla la registrazione del buffer ring
  Attiva la vulnerabilità, lasciando le strutture dati del kernel in uno stato sfruttabile.

• Spray di file descriptor
  Apre numerosi FD su /etc/passwd, sperando di corrompere l'oggetto del kernel desiderato.

• Modifica la modalità del file
  Corrompe i flag f_mode così che /etc/passwd diventi scrivibile.

• Scrive la backdoor
  Inserisce evil::0:0:root:/root:/bin/bash in /etc/passwd.

Requisiti

• Kernel Linux con un'implementazione vulnerabile di io_uring (testato su un kernel con il bug CVE-2024-0582).
• Toolchain Rust (se si compilano i file sorgente .rs).
• EXT4_FOPS_OFFSET:
  Potrebbe essere necessario regolare il valore di EXT4_FOPS_OFFSET in main.rs (il default è impostato su 0x122b3c0) a seconda della versione del tuo Linux. Una mancata corrispondenza può causare il fallimento dell'exploit o un comportamento errato.

Determinare i Valori di Offset Corretti

Se il tuo kernel esporta le informazioni sui simboli e hai i permessi necessari (spesso ciò è limitato sui sistemi di produzione), puoi leggere da /proc/kallsyms:

1. Ottieni l'indirizzo di _text:

   root@kitploit:~

   grep " _text" /proc/kallsyms
   

   Chiamiamo l'indirizzo risultante TEXT_ADDR.

2. Ottieni l'indirizzo di ext4_file_operations:

   root@kitploit:~

   grep ext4_file_operations /proc/kallsyms
   

   Chiamiamo l'indirizzo risultante EXT4_FOPS_ADDR.

3. Sottrai:

   root@kitploit:~

   EXT4_FOPS_OFFSET = EXT4_FOPS_ADDR – TEXT_ADDR