CVE-2023-4911 "Looney Tunables" 分析環境

GNU C Library（glibc）動的ローダーのバッファオーバーフロー脆弱性（Local Privilege Escalation）の分析およびエクスプロイト開発のためのDockerベースの実習環境です。

CVE 情報

項目	内容
CVE 番号	CVE-2023-4911
別名	Looney Tunables
脆弱対象	GNU C Library (glibc) 2.34 ~ 2.38
脆弱バージョン	Ubuntu 22.04 — libc6 2.35-0ubuntu3.3 以下
パッチバージョン	libc6 2.35-0ubuntu3.4 (USN-6404-1, 2023-10-04)
タイプ	Buffer Overflow in ld.so
影響	Local Privilege Escalation（一般ユーザー → root）
発見者	Qualys Security Research Team

脆弱性メカニズム

glibc動的ローダー（ld.so）はプログラム実行時に GLIBC_TUNABLES 環境変数をパースします。
SUIDバイナリ実行時に __libc_enable_secure = 1 が設定され、ld.soはその環境変数を無効化（nullify）するコードパスに入ります。
この過程で、tunable1=tunable2=value 形式の入力に対して誤った長さ計算によりバッファオーバーフローが発生します。

一般バイナリ:  __libc_enable_secure = 0  →  nullifyコード未入力  →  脆弱性なし
SUIDバイナリ:  __libc_enable_secure = 1  →  nullifyコード入力   →  バッファオーバーフロー発生

エクスプロイトの流れ:

GLIBC_TUNABLES オーバーフロー
        ↓
ld.so BSS領域のlink_mapポインタ上書き
        ↓
ライブラリ検索パスを evil_lib/ パスに改ざん
        ↓
evil.so ロード → constructor自動実行
        ↓
setuid(0) + execve("/bin/bash") → rootシェル取得

環境構築の目標と方向性

この環境は単なるPoC実行を超え、脆弱性の動作原理を直接分析し、エクスプロイトを開発するプロセスを目標として設計されています。

脆弱なglibcバージョン（2.35-0ubuntu3.3）が実際に動作する環境の再現
ld.soのソースコードと実行バイナリを一緒に分析できる環境の提供
GDB / gef / gdbserverによる動的分析のサポート
一般ユーザー（researcher）→ root権限昇格シナリオの直接実習
チームメンバー全員が同じ環境で分析を開始できるようDockerで完全分離

プロジェクト構造

CVE-2023-4911/
├── Dockerfile                  # 脆弱環境イメージ定義（マルチステージビルド）
├── run.sh                      # Dockerビルド/実行管理スクリプト
├── check_environment.sh        # コンテナ起動時に環境自動検証
├── poc/
│   ├── exploit.py              # 基本PoC — crash(SIGSEGV)確認用
│   ├── exploit_lpe.py          # LPEエクスプロイト — GDB分析後完成
│   └── evil_lib/
│       ├── evil.c              # rootシェルを実行する悪意のある共有ライブラリ
│       └── Makefile
└── test_targets/
    ├── test_suid.c             # SUIDテストバイナリソース
    └── test_heap.c             # ヒープ割り当てテストバイナリソース

環境要件

Docker
Linux または WSL2 (Windows)

使用方法

1. イメージビルドとコンテナ実行

./run.sh build && ./run.sh run

2. sudoパスワード入力

コンテナ起動時にsudoパスワードを要求します。

パスワード: password

3. 脆弱性確認

# SIGSEGV発生確認
python3 /workspace/poc/exploit.py --check-only

# 直接トリガ
GLIBC_TUNABLES=glibc.malloc.mxfast=glibc.malloc.mxfast=AAAA \
  /workspace/test_targets/test_suid

4. GDB解析

# コンテナ内で直接解析
gdb -q /workspace/test_targets/test_suid

# リモートデバッグ (gdbserver)
# コンテナ内
gdbserver :1234 /workspace/test_targets/test_suid

# ローカルホスト
gdb
(gdb) target remote localhost:1234

5. LPEエクスプロイト実行

GDBで OVERFLOW_OFFSET と TARGET_ADDR を解析後、exploit_lpe.py 上部の値を更新して実行します。

python3 /workspace/poc/exploit_lpe.py

run.sh オプション

分析環境情報

分析ポイント

静的解析

# 脆弱関数の場所
/workspace/glibc-source/elf/dl-tunables.c

# 主要関数
__tunables_init()   # エントリポイント
parse_tunables()    # オーバーフロー発生箇所
tunables_strdup()   # バッファ割り当て

動的解析

# straceでシステムコールトレース
strace -e trace=mmap GLIBC_TUNABLES="..." /workspace/test_targets/test_suid

# GDBで __tunables_init 解析
gdb /workspace/test_targets/test_suid
(gdb) break __tunables_init
(gdb) set environment GLIBC_TUNABLES=glibc.malloc.mxfast=glibc.malloc.mxfast=AAAA
(gdb) run

注意事項

この環境は教育およびセキュリティ研究目的でのみ使用してください。

本環境は脆弱性学習とエクスプロイト開発研究のために制作されました
実際の運用システムまたは許可されていない対象に絶対に使用しないでください
コンテナは --privileged モードで実行されるため、隔離された環境でのみ使用してください
本リポジトリのコードを悪用して発生するすべての法的責任は利用者自身にあります

`./run.sh build`	Dockerイメージビルド
`./run.sh run`	対話モードでコンテナ実行
`./run.sh analysis`	分析モード実行
`./run.sh test`	簡易脆弱性確認
`./run.sh clean`	イメージおよびコンテナ削除

Baseイメージ	`ubuntu:jammy-20230916`（パッチ前）
glibc バージョン	2.35-0ubuntu3.3（脆弱）
ld.so バージョン	2.35-0ubuntu3.3（脆弱）
分析アカウント	`researcher` / `password`
glibc ソース	`/workspace/glibc-source` (2.35)
主要ポート	1234 (gdbserver)
コンテナオプション	`--privileged`, `--pid=host`

CVE-2023-4911-Lab

人気