CVE-2019-5736-attack-and-security-mechanism

In questo progetto abbiamo individuato un recente attacco tramite container malevoli e implementato un meccanismo di sicurezza per fermarlo.

Introduzione

Gli attacchi informatici sono diventati una sfida critica sia per le aziende che per le piccole imprese, in gran parte a causa delle vulnerabilità presenti nei vari componenti delle loro risorse IT. Comprendere queste minacce è il primo passo per proteggere i dati e gli asset di un'organizzazione. Le forme più comuni di attacco includono malware, ransomware e phishing. Studi recenti evidenziano la crescente diffusione di attacchi mirati alle infrastrutture container. Gli avversari sfruttano spesso container mal configurati, individuandoli tramite motori di ricerca pubblici e strumenti di scansione.
Pertanto, in questo progetto abbiamo implementato un attacco utilizzando la vulnerabilità Docker CVE-2019-5736 e identificato un meccanismo di sicurezza per prevenirlo.

Implementazione ed esecuzione dell'attacco

Abbiamo utilizzato la seguente configurazione per implementare in modo sicuro un attacco e un meccanismo di sicurezza. Sulla macchina base con sistema operativo Windows, è stata distribuita una macchina virtuale VMware Workstation con sistema operativo Ubuntu 18.04. Inoltre, sull'Ubuntu 18.04 è stata installata l'applicazione container Docker 18.03.1-ce (Runc 1.0.0-rc5).

Il file "usr/docker/runc" è un file eseguibile interno sensibile che nessun utente terzo dovrebbe poter modificare. Tuttavia, la versione Docker 18.03 presenta la vulnerabilità per cui non registra la modifica del file docker "runc"; di conseguenza, l'attaccante può sfruttare questa vulnerabilità per modificare il file "usr/docker/runc" e ottenere accesso root al nostro sistema Linux.

1. Creiamo un backup del file "usr/docker/runc" e del suo hash per confermare la modifica di questo file dopo l'esecuzione dell'attacco.
2. Aggiungiamo script malevoli alla configurazione del container, che modificheranno il file "usr/docker/runc" dopo che un utente tipico esegue il container malformato.
3. Abbiamo creato il container.
4. L'attaccante imposta un listener sul proprio dispositivo (in questo caso la nostra macchina Windows) su un numero di porta specifico menzionato negli script malevoli (ad es. porta 1234). Ogni volta che l'utente esegue quel container, l'attaccante si connette alla macchina dell'utente con accesso root.
5. Eseguiamo il container malformato.

Di conseguenza:

• L'attaccante si connette alla macchina dell'utente con privilegi di accesso root.
• Il valore hash del file "usr/docker/runc" dopo l'attacco non è uguale all'hash del file di backup, il che significa che l'attacco ha avuto successo.

Meccanismo di sicurezza

La causa principale di questa vulnerabilità è la capacità dell'immagine docker malevola di alterare il file "/usr/docker/runc" e includere codice ostile nel file eseguibile.

Per fermare questo attacco, utilizziamo il comando "Chattr" per rendere immutabile il file "/usr/docker/runc". Di conseguenza, l'exploit non riesce a essere eseguito e non c'è alcuna risposta dal lato dell'attaccante.

Il meccanismo di sicurezza che abbiamo applicato ferma effettivamente l'attacco, il che significa che siamo riusciti a impedire al codice malevolo di sfruttare la vulnerabilità di quello specifico file docker che abbiamo individuato. Per il meccanismo di sicurezza non abbiamo potuto usare il comando 'chmod' perché in questa specifica vulnerabilità utilizzata, all'attaccante viene concesso l'accesso root. Pertanto, il comando "chmod" non avrebbe potuto prevenire l'attacco.

Riepilogo

In questo progetto abbiamo scelto di implementare un attacco che sfruttava la vulnerabilità CVE-2019-5736 con punteggio CVSS HIGH, che consente a un attaccante di ottenere accesso remoto alla macchina dell'utente con privilegi di root. Abbiamo eseguito con successo l'attacco e individuato il meccanismo di sicurezza per prevenirlo.

Sfide:

• Installazione di una versione precedente di Docker
• Modifica del codice exploit disponibile per eseguire un attacco