CVE-2024-0582

CVE-2024-0582に基づくデータのみの攻撃

説明

この脆弱性の悪用は、このブログ記事の戦略に従っていますが、子プロセスを使用してファイルを開くことはしませんでした。

GitHub上で、この解説記事の戦略に従ったいくつかの脆弱性悪用コードを見つけました。

ソケットベースの制御フローハイジャックを用いて脆弱性悪用を再現した後、データのみの攻撃で実装を試みましたが、これはまだオープンソース化されていないようです。

Claudeを試す

上記2つの解説記事とhttps://github.com/ysanatomic/io_uring_LPE-CVE-2024-0582/blob/main/exploit.cをClaudeに入力して、次のように指示しました：

Could you modify the code to fit in the data-only attack? It means open file instead of sock, seek ext4_file_operations instead of egg, delete the control flow hijack and modify the file permission.

これにより子プロセスを使うコードが生成されました。しかし、子プロセスを使うとデバッグが難しいと考えました。そこで、次のように指示しました：

Why not open file in the process, not using a child?

すると、ほぼ現在のコードが生成されました。

その後、次の調整を行いました：

1. バックドア文字列を理解しやすく調整しました。
2. ソースコードに基づいてファイルモードフラグを調整しました。Claudeが生成したものは間違っていました。
3. ファイル構造体をより多くスプレーするためにfdの数を増やしました。sock構造体よりもはるかに短いためです。

使用方法

1. ext4_fops_offset を確認します。
2. ファイルモードフラグを確認します。
3. 必要に応じて、ファイル構造体をより多くスプレーするためにfdの数を増やします。
4. コンパイルして実行します。

gcc exploit.c -o exploit -luring
./exploit

5. バックドアユーザーを確認します。または、一度ログアウトしてからバックドアユーザーでログインします。

sudo cat /etc/passwd # If you can use sudo