CVE-2019-5736 カスタムサンドボックス

概要

CVE-2019-5736 は、エクスプロイトを理解するために浅い自作のコンテナランタイムを使用して実装されています。

エクスプロイトは、twistlock による runc-poc に基づいています（ほぼすべてコピーされています）：https://github.com/twistlock/RunC-CVE-2019-5736/tree/master/malicious_image_POC

コンテナランタイム (quarantine)

詳細はコードドキュメントを参照してください。

Usage: quarantine [OPTIONS] [BINARY and its ARGS]

--rootfs: (mandatory) Specify a rootfs for the container.
--urange: Specify a urange start_host:end_host,start_guest.
--grange: Specify a grange start_host:end_host,start_guest.
--uid:    Specify the desired UID in the container.
--ugd:    Specify the desired GID in the container.
--supp:   Append supplementary groups from the specified grange to the process running in the container.

ユーザー名前空間を除くすべての名前空間をアンシェアします。ユーザー名前空間は、urange、grange、uid、gid が指定された場合など、特別な状況下でアンシェアされます。

エクスプロイトのセットアップ

これは Ubuntu 18.04 でテストおよび実行されました。

rootfs を取得します（例: bionic）
- mkdir rootfs
- sudo debootstrap bionic ./rootfs
libcap ソースを取得します
- git clone https://github.com/mhiramat/libcap
libcap を変更します
- cat exploit_code_for_shared_lib.c >> <any cap*.c, I used cap_alloc.c>
- make
rootfs に chroot し、libcap-dev をインストールして、変更した libcap.so に簡単にリンクできるようにします
- sudo chroot rootfs
- apt install libcap-dev
作成した libcap.so.2.25 ファイルを適切な rootfs ディレクトリにコピーします -sudo cp libcap.so.2.25 rootfs/lib/x86_64-linux-gnu
- 注: 私の環境では、その正確な libcap ファイルバージョンを指すリンクが既に存在していたため、リンクする必要はありませんでした
- 注: このパスは変わる可能性があります。コンパイルされた quarantine が libcap をどこに期待しているか常に確認してください: ldd quarantine

エクスプロイトの実行

例: sudo ./quarantine --rootfs rootfs /shebang_exploit または ./quarantine --rootfs rootfs --uid 1 /shebang_exploit。

これは、ホスト上で CAP_DAC_OVERRIDE または CAP_SYS_ADMIN のいずれかを保持している限り（つまり、sudo を使用するときにユーザー名前空間をアンシェアしない限り、これは親名前空間でケイパビリティをドロップするため）、またはホスト上でファイルを所有している限り機能します。

CVE-2019-5736-Custom-Runtime

人気