CVE-2021-3156 – Baron Samedit

sudo におけるヒープベースのバッファオーバーフロー | 悪用と緩和の分析

概要

CVE-2021-3156 は、Baron Samedit として知られる sudo プログラムのヒープベースのバッファオーバーフロー脆弱性です。これにより、権限のないローカルユーザーが認証なしで脆弱なシステム上でroot 権限を取得できる可能性があります。

このプロジェクトは、ルクセンブルク大学のソフトウェア脆弱性：悪用と緩和コースの一環として、この脆弱性の完全な悪用と緩和を文書化したものです。

脆弱性の詳細

環境とセットアップ

OS:           Ubuntu 20.04.1
sudo version: 1.8.31-1ubuntu1 (vulnerable)
libc version: 2.31
User:         Non-root account

脆弱な状態を再現するには：

sudo apt install sudo=1.8.31-1ubuntu1

脆弱性の仕組み

この脆弱性は、内部のヒープバッファをオーバーフローさせる巧妙に細工されたコマンドライン引数を指定して sudo が sudoedit モードで実行されるときに発生します。

このエクスプロイトは、メモリ解析を通じて微調整された4つの重要なパラメータを使用します：

エクスプロイトの構造

exploit_launcher.c — メインのエクスプロイト

以下の5つのステップで脆弱性を引き起こします：

1. ターゲット指定 — Ubuntu 20.04.1、sudo 1.8.31、libc-2.31 用に計算されたハードコード値
2. 引数構築 — オーバーフローを引き起こすためにバックスラッシュを含む巧妙なコマンドライン引数を作成
3. 環境セットアップ — 悪意のあるライブラリをロードするために、バックスラッシュと特別な文字列で環境を満たす
4. ロケール変数 — ヒープメモリレイアウトを制御するために LC_ALL を細工
5. 実行 — 悪意のある引数と環境で sudoedit を呼び出す

exploit_payload.c — 悪意のあるペイロード

エクスプロイトが成功すると _init 関数を介して自動的に実行されます：

1. すべてのユーザー/グループ ID を 0（root）に設定
2. root シェルを起動

悪用の結果

$ make
$ ./exploit_it

[!] CVE-2021-3156 Exploit
[+] Target: Ubuntu 20.04.1 (sudo 1.8.31, libc-2.31)
[+] Parameters: A=56, B=54, Nulls=63, LC_ALL=212
[+] Launching exploit...
[+] Exploit successful. Root privileges obtained.
# whoami
root

✅ 権限のないユーザーから root への昇格に成功しました。

緩和策とパッチの検証

sudo をパッチ適用済みバージョンにアップグレードします：

sudo apt install sudo=1.8.31-1ubuntu1.5

アップグレード後、同じエクスプロイトは実行に失敗し、root 権限は付与されませんでした。これにより、パッチが有効であることが確認されました。

重要な教訓：sudo のようなシステムユーティリティを最新の状態に保つことは、権限昇格攻撃を防ぐために不可欠です。

ファイル

├── exploit_launcher.c    # Main exploit triggering the heap overflow
├── exploit_payload.c     # Malicious payload spawning root shell
├── libnss_X/             # Malicious library loaded during exploitation
└── Makefile              # Build configuration

ビルドと実行

# Build
make

# Run exploit
./exploit_it

参考リンク

• Qualys セキュリティアドバイザリ
• NVD – CVE-2021-3156