CVE-2015-1328 概念実証

CVE-2015-1328 の概念実証 (PoC) エクスプロイトです。この脆弱性は、Linux カーネルの overlayfs 実装に影響を与える権限昇格の脆弱性です。この脆弱性により、ローカルの非特権ユーザーが、ユーザーネームスペース内の overlayfs マウント操作における不適切なパーミッションチェックを悪用して、root アクセスを取得できます。

概要

CVE-2015-1328 は、overlayfs サポートとユーザーネームスペースが有効な Linux カーネルに影響を与える重大なセキュリティ脆弱性です。この脆弱性により、非特権のローカルユーザーが以下を実行できます:

1. unshare(CLONE_NEWUSER) を使用してユーザーネームスペースを作成する
2. ネームスペース内で overlayfs ファイルシステムをマウントする
3. パーミッションチェックの欠陥を悪用して /etc/ld.so.preload に書き込む
4. 悪意のある共有ライブラリを実行して root 権限を取得する

この PoC は以下の方法で脆弱性を実証します:

• ネームスペース分離を使用してマウント制限をバイパスする
• overlayfs をマウントしてシステムファイルを操作する
• /etc/ld.so.preload を介してカスタム共有ライブラリを注入する
• getuid() をハイジャックして root シェルを実行する

影響を受けるシステム

• Ubuntu 14.04 LTS でカーネルバージョン 3.19.0-21.21 より前のもの
• 以下の条件を満たすシステム:
  • ユーザーネームスペースが有効 (kernel.unprivileged_userns_clone=1)
  • Overlayfs ファイルシステムのサポート
  • パッチ未適用のカーネルバージョン

必要条件

• 32ビット対応の GCC コンパイラ
• ユーザーネームスペースと overlayfs をサポートする Linux カーネル
• 適切なシステムライブラリ (-m32 フラグ対応)

ビルド

このプロジェクトには簡単にコンパイルできる Makefile が含まれています:

make

これにより以下がコンパイルされます:

• ofs - メインのエクスプロイトバイナリ (静的 32ビット)
• ofs-lib.so - LD_PRELOAD フック用の共有ライブラリ (32ビット)

手動コンパイル

手動でコンパイルする場合は:

# Compile main exploit
gcc -o ofs ofs.c -m32 -static

# Compile shared library
gcc -m32 -fPIC -shared -o ofs-lib.so ofs-lib.c -ldl -static-libgcc

使用方法

⚠️ 警告: このエクスプロイトはシステムファイルを変更し、root 権限の取得を試みます。適切な許可を得た管理された環境でのみ使用してください。

1. エクスプロイトをコンパイル:

   root@kitploit:~

   make
   

2. エクスプロイトを実行:

   root@kitploit:~

   ./ofs
   

3. 成功した場合、エクスプロイトは以下を実行します:

   • 必要なネームスペース構造を作成
   • overlayfs ファイルシステムをマウント
   • /etc/ld.so.preload に書き込み
   • /bin/su を実行して悪意のあるライブラリをトリガー
   • root シェルを起動

動作の仕組み

エクスプロイトの流れ

1. ネームスペース作成: unshare(CLONE_NEWUSER) を使用して新しいユーザーネームスペースを作成します
2. マウントネームスペース: clone() と CLONE_NEWNS を使用してマウントネームスペースを作成します
3. Overlayfs マウント: overlayfs ファイルシステムをマウントしてシステムディレクトリを操作します
4. ファイル操作: overlayfs を使用してファイルの名前変更や /etc/ld.so.preload への書き込みを行います
5. ライブラリ注入: 悪意のある共有ライブラリを /tmp/ofs-lib.so に書き込みます
6. 権限昇格: /bin/su を実行してプリロードされたライブラリをトリガーします
7. Root シェル: ライブラリが getuid() をハイジャックし、root シェルを起動します

技術的詳細

• エクスプロイトはカスタムスタックと clone() を使用して、隔離されたマウントネームスペースを作成します
• Overlayfs マウントにより、ホストに影響を与えるネームスペース内でのファイル操作が可能になります
• 共有ライブラリ (ofs-lib.so) は LD_PRELOAD を介して getuid() をフックします
• /bin/su が getuid() を呼び出すと、代わりに悪意のある関数が実行されます

コード構造

.
├── ofs.c          # メインのエクスプロイトコード
├── ofs-lib.c      # 権限昇格用の共有ライブラリ
├── lib_so.h       # 埋め込みバイナリライブラリデータ
├── Makefile       # ビルド設定
└── README.md      # このファイル

主要ファイル

• ofs.c: メインのエクスプロイトロジック、ネームスペース作成、マウント操作を含む
• ofs-lib.c: root シェルを起動する getuid() フックを実装
• lib_so.h: コンパイル済み共有ライブラリをバイナリ配列として含む（埋め込み用）

緩和策

この脆弱性から保護するには:

1. カーネルを更新 してパッチ適用済みバージョン (Ubuntu 14.04 では 3.19.0-21.21 以降) にする
2. 不要な場合はユーザーネームスペースを無効化:
   root@kitploit:~

   echo 0 > /proc/sys/kernel/unprivileged_userns_clone
   

3. AppArmor/SELinux を使用 してネームスペース作成機能を制限する
4. システムログを監視 して不審なマウント操作を検出する

法的および倫理的免責事項

このコードは教育およびセキュリティ研究目的でのみ提供されています。

• 明示的な許可なくシステムに対してこのエクスプロイトを不正に使用することは違法です
• この PoC は以下を対象としています:
  • カーネル脆弱性を研究するセキュリティ研究者
  • システムの回復力をテストするシステム管理者
  • 管理された環境での教育目的
• 著者はこのコードの誤用について一切の責任を負いません
• いかなるシステムでテストする前にも、適切な許可を得ていることを必ず確認してください

参考文献

• CVE-2015-1328
• Ubuntu セキュリティ勧告
• Kernel.org Git コミット
• Cloud Foundry 勧告
• Exploit DB 作者: rebel

ライセンス

このプロジェクトは教育目的で現状のまま提供されています。責任を持って、適用されるすべての法律および規制に従って使用してください。