README

Nota: Il codice in questo repository serve a dimostrare l'isolamento delle tecnologie di sandbox sicure per pod, come kata containers, e non ha intenzione di attaccare alcuna piattaforma.

Come riprodurre

• Ottenere il kernel Linux 4.13.0
• Applicare la patch 0001-CVE-2017-5123-help-to-make-attack-safely.patch
• Compilare il kernel Linux con la configurazione Kconfig
• Avviare il kernel e ottenere l'indirizzo di dac_mmap_min_addr, have_canfork_callback, prepare_kernel_cred, commit_creds, set_fs_root, copy_fs_struct, current_task con i seguenti comandi. Aggiornare l'indirizzo in CVE-2017-5123.c

echo 0 > /proc/sys/kernel/kptr_restrict
cat /proc/kallsyms

• gdb vmlinux
• Ottenere la dimensione di TASK_FS_OFFSET e aggiornare l'indirizzo in CVE-2017-5123.c

(gdb) p &(((struct task_struct *)0)->fs)

• Ottenere la dimensione di TASK_PARENT_OFFSET e aggiornare l'indirizzo in CVE-2017-5123.c

(gdb) p &(((struct task_struct *)0)->parent)

• Ottenere la dimensione di FS_ROOT_OFFSET e aggiornare l'indirizzo in CVE-2017-5123.c

(gdb) p &(((struct fs_struct *)0)->root)

• Compilare CVE-2017-5123.c con --static e inserire il file binario in un'immagine docker.
• Avviare il kernel con l'opzione della riga di comando del kernel "nosmep".
• Ora, usa l'immagine docker rock and roll.

A proposito di questa CVE

L'implementazione di waitid nei kernel upstream non limitava la destinazione in cui copiare i risultati delle informazioni. Ciò può consentire agli utenti locali di scrivere in memoria del kernel altrimenti protetta, portando a escalation dei privilegi.
Il bug è stato introdotto il 2017-05-21 e corretto il 2017-10-09.

Questa CVE è già stata corretta nelle successive release del ramo 4.13 e nei kernel mainline più recenti. Tuttavia, potrebbero esistere CVE simili che consentono l'escalation dei privilegi. La CVE stessa è in realtà abbastanza simile alla famosa dirty cow, CVE-2016-5195 .

Ulteriori informazioni

CVE-2017-5123.c usa questa vulnerabilità per modificare il valore di /proc/sys/vm/mmap_min_addr. Quindi fa sì che il kernel Linux chiami lo shellcode per ottenere i permessi di accesso ai file della root dell'host.