README

注記: このリポジトリ内のコードは、kata containers などのセキュアなポッドサンドボックス技術の分離をデモするためのものであり、いかなるプラットフォームも攻撃する意図はありません。

再現方法

• Linux カーネル 4.13.0 を入手する
• 0001-CVE-2017-5123-help-to-make-attack-safely.patch を適用する
• Kconfig 設定で Linux カーネルをビルドする
• カーネルを起動し、次のコマンドで dac_mmap_min_addr、have_canfork_callback、prepare_kernel_creds、commit_creds、set_fs_root、copy_fs_struct、current_task のアドレスを取得する。 アドレスを CVE-2017-5123.c に更新する

echo 0 > /proc/sys/kernel/kptr_restrict
cat /proc/kallsyms

• gdb vmlinux
• TASK_FS_OFFSET のサイズを取得し、アドレスを CVE-2017-5123.c に更新する

(gdb) p &(((struct task_struct *)0)->fs)

• TASK_PARENT_OFFSET のサイズを取得し、アドレスを CVE-2017-5123.c に更新する

(gdb) p &(((struct task_struct *)0)->parent)

• FS_ROOT_OFFSET のサイズを取得し、アドレスを CVE-2017-5123.c に更新する

(gdb) p &(((struct fs_struct *)0)->root)

• CVE-2017-5123.c を --static でビルドし、バイナリファイルを Docker イメージに配置する。
• カーネルコマンドラインオプション "nosmep" を指定してカーネルを起動する。
• では、Docker イメージでロックンロールだ。

この CVE について

アップストリームカーネルにおける waitid の実装は、情報結果をコピーする対象の宛先を制限していませんでした。これにより、ローカルユーザーが通常は保護されているカーネルメモリに書き込むことが可能になり、権限昇格につながる可能性があります。
このバグは 2017-05-21 に導入され、2017-10-09 に修正されました。

この CVE は、4.13 ブランチの以降のリリースと新しいメインラインカーネルではすでに修正されています。ただし、権限昇格を許す同様の CVE が存在する可能性があります。実際、この CVE 自体は、有名な dirty cow、CVE-2016-5195 と非常によく似ています。

詳細情報

CVE-2017-5123.c は、この脆弱性を利用して /proc/sys/vm/mmap_min_addr の値を変更します。次に、Linux カーネルにシェルコードを呼び出させ、ホストの root のファイルアクセス権限を取得します。