CVE-2023-4863 — libwebp エクスプロイト実験ラボ

CVE-2023-4863（libwebp のヒープバッファオーバーフロー）を、完全に分離され自動化された Docker 環境で再現します。CEFIRE の倫理的ハッキングモジュールの演習に基づいています。

このラボの機能

プライベートネットワーク上に8つのコンテナを起動します:

自動デモ（victim-cli 対 victim-patched）は起動時に自動的に実行されます。GUI での視覚的なデモは、Guacamole からの手動操作が必要です。

必要条件

• Docker Engine 24+
• Docker Compose v2
• 利用可能な RAM 約 5 GB
• ディスク約 10 GB（イメージ + レイヤー）

ラボの起動

make up

初回の場合、make up は自動的に次の3つのことを行います:

1. Guacamole の SQL スキーマを生成する（公式イメージから initdb.sh を実行）
2. コンテナのイメージをビルドする
3. すべてを起動する

初回のビルドには数分かかります（ベースイメージのダウンロード、PoC リポジトリのクローン、パッケージのインストール）。2回目以降は Docker キャッシュが使用されるため、ほぼ即座に完了します。

完了すると、出力に Guacamole の URL が表示されます。被害者コンテナは、攻撃者が準備完了となりエクスプロイトを配信し始めるまで起動しません（healthcheck）。

認証情報

自動デモの確認（CLI）

ラボの稼働中に、ターミナルで次のコマンドを実行します:

# Ver el crash en la víctima vulnerable
make logs-victim-cli

# Ver la respuesta controlada en la víctima parcheada
make logs-victim-patched

victim-cli に表示される内容:

[*] Ejecutando: dwebp /tmp/exploit.webp -o /tmp/salida.png

Decoding of exploit.webp failed.
Status: 3(BITSTREAM_ERROR)
*** glibc detected *** double free or corruption (!prev) ***
Aborted (core dumped)

[!] EXIT CODE: 134 (SIGABRT)
[!] CVE-2023-4863 CONFIRMADO

victim-patched に表示される内容:

[*] Ejecutando: dwebp /tmp/exploit.webp -o /tmp/salida.png

Decoding of exploit.webp failed.
Status: 3(BITSTREAM_ERROR)

[+] EXIT CODE: 1 — Error controlado
[+] CVE-2023-4863 MITIGADO

デスクトップでの視覚的なデモ（GUI）

最も視覚的なデモは、XFCE デスクトップのターミナルで dwebp を使用し、victim-gui（脆弱）と victim-gui-patched（パッチ適用済み）を比較することで行います。

手順

1. ブラウザで http://localhost:8888/guacamole を開く
2. ログイン: guacadmin / guacadmin
3. 脆弱な被害者（Firefox 110）で:
   • [VÍCTIMA GUI] VNC — Escritorio Chrome を選択する
   • XFCE デスクトップでターミナルを開く
   • 実行:
     root@kitploit:~

     firefox --no-sandbox http://attacker/index.html
     

   • Firefox 110 が exploit.webp のレンダリングを試みる → クラッシュ（SIGABRT、プロセス終了）
4. パッチ適用済みの被害者（Firefox 126）で:
   • [VÍCTIMA GUI PATCH] VNC — Escritorio Chrome patch を選択する
   • 同じコマンド → Firefox 126 はクラッシュせずエラーを処理する

Chrome ではなく Firefox を使う理由

Mozilla は全バージョンの恒久的な公開アーカイブを releases.mozilla.org で維持しています。Google は古い Chrome バージョンの URL を CDN から削除したため、Chrome 116 を確実にダウンロードすることは不可能になりました。Firefox 110 も同様に脆弱であり（両方とも libwebp を内部に同梱）、Mozilla のアーカイブからのダウンロードは安定しており再現性があります。

SSH での直接アクセス（Guacamole なし）

ssh root@localhost -p 2220   # attacker
ssh root@localhost -p 2221   # victim-cli
ssh root@localhost -p 2223   # victim-patched
ssh root@localhost -p 2222   # victim-gui
ssh root@localhost -p 2224   # victim-gui-patched

直接 VNC: localhost:5900（victim-gui）および localhost:5901（victim-gui-patched）。

便利なコマンド

make logs                    # todos los logs en tiempo real
make status                  # estado de los containers
make shell-attacker          # shell en el atacante
make shell-victim-cli
make shell-victim-gui
make shell-victim-gui-patched
make down                    # parar el lab
make clean                   # parar + borrar imágenes y redes

メモ

Chrome と libwebp: Chrome は独自の libwebp をバンドルしています（システムのものは使用しません）。バージョン ≥ 116.0.5845.187 にはパッチが含まれています。Google が古いバージョンの URL を削除したため、Dockerfile は現在の安定版（パッチ適用済み）へのフォールバックを使用します。dwebp によるクラッシュのデモも同様に有効であり、より信頼性があります。

隔離されたネットワーク: 実行中、どのコンテナもインターネットにアクセスできません。すべてのトラフィックは Docker のプライベートネットワーク cve4863-lab-net 内に留まります。