CVE-2023-4863 — Laboratorio di sfruttamento di libwebp

Riproduzione di CVE-2023-4863 (heap buffer overflow in libwebp) in un ambiente Docker completamente isolato e automatizzato. Basato sull'esercitazione del modulo di Hacking Etico di CEFIRE.

Cosa fa questo lab

Avvia otto container in rete privata:

La dimostrazione automatica (victim-cli vs victim-patched) avviene da sola all'avvio. La dimostrazione visiva in GUI richiede interazione manuale da Guacamole.

Requisiti

• Docker Engine 24+
• Docker Compose v2
• ~5 GB di RAM disponibili
• ~10 GB di disco (immagini + layer)

Avviare il lab

make up

make up fa tre cose automaticamente se è la prima volta:

1. Genera lo schema SQL di Guacamole (esegue initdb.sh dall'immagine ufficiale)
2. Costruisce le immagini dei container
3. Avvia tutto

La build richiede qualche minuto la prima volta (scarica immagini base, clona il repo del PoC, installa pacchetti). Le esecuzioni successive usano la cache di Docker e sono quasi istantanee.

Quando termina, vedrai l'URL di Guacamole nell'output. I container delle vittime non si avviano finché l'attaccante non è pronto e sta servendo l'exploit (healthcheck).

Credenziali

Vedere la dimostrazione automatica (CLI)

In un terminale, mentre il lab è in esecuzione:

# Ver il crash nella vittima vulnerabile
make logs-victim-cli

# Ver la risposta controllata nella vittima patchata
make logs-victim-patched

Cosa vedrai in victim-cli:

[*] Ejecutando: dwebp /tmp/exploit.webp -o /tmp/salida.png

Decoding of exploit.webp failed.
Status: 3(BITSTREAM_ERROR)
*** glibc detected *** double free or corruption (!prev) ***
Aborted (core dumped)

[!] EXIT CODE: 134 (SIGABRT)
[!] CVE-2023-4863 CONFIRMADO

Cosa vedrai in victim-patched:

[*] Ejecutando: dwebp /tmp/exploit.webp -o /tmp/salida.png

Decoding of exploit.webp failed.
Status: 3(BITSTREAM_ERROR)

[+] EXIT CODE: 1 — Error controlado
[+] CVE-2023-4863 MITIGADO

Dimostrazione visiva sul desktop (GUI)

La dimostrazione più visiva si fa confrontando victim-gui (vulnerabile) con victim-gui-patched (patchata) usando dwebp da un terminale del desktop XFCE.

Passaggi

1. Apri http://localhost:8888/guacamole nel tuo browser
2. Login: guacadmin / guacadmin
3. Nella vittima vulnerabile (Firefox 110):
   • Seleziona [VITTIMA GUI] VNC — Desktop Chrome
   • Apri un terminale nel desktop XFCE
   • Esegui:
     root@kitploit:~

     firefox --no-sandbox http://attacker/index.html
     

   • Firefox 110 tenta di renderizzare exploit.webp → crash (SIGABRT, processo morto)
4. Nella vittima patchata (Firefox 126):
   • Seleziona [VITTIMA GUI PATCH] VNC — Desktop Chrome patch
   • Stesso comando → Firefox 126 gestisce l'errore senza crashare

Perché Firefox invece di Chrome

Mozilla mantiene un archivio pubblico permanente di tutte le sue versioni su releases.mozilla.org. Google ha ritirato gli URL delle versioni precedenti di Chrome dal suo CDN, rendendo impossibile scaricare Chrome 116 in modo affidabile. Firefox 110 è ugualmente vulnerabile (entrambi incorporano libwebp internamente) e il suo download dall'archivio di Mozilla è stabile e riproducibile.

Accesso diretto via SSH (senza Guacamole)

ssh root@localhost -p 2220   # attacker
ssh root@localhost -p 2221   # victim-cli
ssh root@localhost -p 2223   # victim-patched
ssh root@localhost -p 2222   # victim-gui
ssh root@localhost -p 2224   # victim-gui-patched

VNC diretto: localhost:5900 (victim-gui) e localhost:5901 (victim-gui-patched).

Comandi utili

make logs                    # tutti i log in tempo reale
make status                  # stato dei container
make shell-attacker          # shell nell'attaccante
make shell-victim-cli
make shell-victim-gui
make shell-victim-gui-patched
make down                    # fermare il lab
make clean                   # fermare + eliminare immagini e reti

Note

Chrome e libwebp: Chrome include la propria copia di libwebp (non usa quella di sistema). Le versioni ≥ 116.0.5845.187 includono la patch. Poiché Google ha ritirato gli URL delle versioni precedenti, il Dockerfile ricade al fallback con la versione stabile attuale (patchata). La dimostrazione del crash con dwebp è ugualmente valida e più affidabile.

Rete isolata: nessun container ha accesso a Internet durante l'esecuzione. Tutto il traffico rimane all'interno della rete Docker privata cve4863-lab-net.