CVE-2016-5195: Dirty COW Linux カーネルの競合状態

防御的研究、非武器化検証、および CVE-2016-5195 (Dirty COW) のパッチ分析。Dirty COW は Linux カーネルのコピーオンライト競合状態であり、ローカルユーザーが読み取り専用マッピングに関連付けられたデータを改ざんし、権限を昇格させる可能性があります。

概要

Dirty COW は、Linux カーネルにおける強制書き込みとコピーオンライト (COW) マッピングの処理における競合状態です。ローカルユーザーは /proc/self/mem を介した書き込みに対してページの無効化を競合させることができます。影響を受けるカーネルでは、この競合により、名目上読み取り専用のプライベートマッピングに関連付けられたデータが、基盤となるファイルに書き戻される可能性があります。

公表されている影響は、攻撃者がこのプリミティブをセキュリティ上重要なファイルに適用できる場合のローカル権限昇格です。この脆弱性は 2016 年 10 月に実環境で悪用されました。このリポジトリはその昇格経路を自動化するものではありません。

リポジトリ構成

安全な検証ハーネス

デフォルトのハーネスは意図的に制約されています:

• ターゲットパスと攻撃者制御のペイロードを受け付けません;
• mode-0600 の一時ファイルを作成し、すぐにリンクを解除します;
• まだ開いている使い捨て inode に対してのみ競合させます;
• ネットワーク接続を行わず、コマンドも実行しません; そして
• 固定された無害なマーカーを報告します。

ビルド

cc -std=c11 -Wall -Wextra -Wpedantic -Werror -O2 \
  poc.c -o dirtycow-safe -pthread

ラボ専用のエクスプロイトプリミティブは別途ビルドできます:

cc -std=c11 -Wall -Wextra -Wpedantic -Werror -O2 \
  exploit.c -o dirtycow-exploit -pthread

隔離された Linux テストシステムでの実行

./dirtycow-safe

オプションの上限付き反復回数:

./dirtycow-safe --iterations 5000000

考えられる結果:

• marker-observed: 使い捨て inode で脆弱な動作が観察されました。
• marker-not-observed: 決定的ではありません。競合が発生しないことは、カーネルが修正されていることを証明するものではありません。
• 終了コード 77: 必要な Linux /proc/self/mem インターフェースが利用できません。

PoC の結果をパッチ適用状態の主要な確認手段として使用しないでください。実行中のディストリビューションのカーネルパッケージ勧告を確認し、再起動後にパッチ適用済みカーネルが有効であることを検証してください。

エクスプロイトプリミティブ

exploit.c は明示的なファイルと置換プレフィックスを受け取り、影響を受けるカーネル上で任意ファイル書き込みプリミティブを実証します。リテラル --i-understand による確認が必要であり、ペイロードと反復回数の上限が適用され、権限昇格ペイロードは構築されません。

選択したファイルは恒久的に変更される可能性があります。所有しているか、明示的にテストを許可された隔離された使い捨てラボでのみ使用してください。競合状態と状態遷移の完全な分析は ROOT_CAUSE.md にあります。

検証結果

evidence/evidence.json は、公式の修正前および修正済み Linux リビジョンで観察されたソースシグネチャ、警告なしの PoC ビルド結果、および検証の安全性プロパティを記録します。 evidence/validation.log は簡潔な要約を提供します。キャプチャされた検証では競合は実行されませんでした。

対策

ベンダー提供のカーネル更新をインストールし、パッチ適用済みカーネルで再起動してください。上流のバージョン文字列だけで曝露を判断しないでください: エンタープライズカーネルやディストリビューションカーネルは、上流のバージョン番号を採用せずに修正をバックポートすることが一般的です。コンテナはホストカーネルを使用するため、対策はホストを対象とする必要があります。

正確な上流の変更については PATCH_ANALYSIS.md を、検証のガイダンスについては VULNERABILITY_REPORT.md を参照してください。

参照

• NVD: CVE-2016-5195
• Linux 上流修正
• Linux 4.8.3 変更ログ
• CISA 既知の悪用された脆弱性カタログ
• Red Hat CVE レコード

この資料は、所有しているシステム、または明示的にテストを許可されたシステムでのみ使用してください。