the-z-labs/linux-exploit-suggester리눅스 커널의 권한 상승 익스플로잇 노출을 감사하고, 휴리스틱 분석 및 config/sysctl 점검을 통해 커널 강화 보안 조치를 확인합니다.
빠른 다운로드:
wget https://raw.githubusercontent.com/mzet-/linux-exploit-suggester/master/linux-exploit-suggester.sh -O les.sh
LES 사용법 및 내부 동작에 대한 자세한 내용:
https://blog.z-labs.eu/2019/05/10/les-paper.html
LES를 위한 추가 리소스:
https://github.com/mzet-/les-res
| 이름 | CVE | LES 포함 여부 | 검증 환경 | 참조 |
|---|---|---|---|---|
| CopyFail | CVE-2026-31431 | 아직 미포함 | - | https://copy.fail/ |
| DirtyFrag | CVE-2026-43284 | 아직 미포함 | - | https://www.openwall.com/lists/oss-security/2026/05/07/8 |
| DirtyAH6 | 아직 미포함 | - | https://heyitsas.im/posts/lpe-quartet/ | |
| PPPoEject | 아직 미포함 | - | https://heyitsas.im/posts/lpe-quartet/ | |
| TUNderflow | 아직 미포함 | - | https://heyitsas.im/posts/lpe-quartet/ | |
| DiagSpill | 아직 미포함 | - | https://heyitsas.im/posts/lpe-quartet/ | |
| OVSwrap | 아직 미포함 | - | https://heyitsas.im/posts/ovswrap/ | |
| CIFSwith | 아직 미포함 | - | https://heyitsas.im/posts/cifswitch/ | |
| RefluXFS | 아직 미포함 | - | URL | |
| vsockpwn | CVE-2025-21756 | 아직 미포함 | - | https://hoefler.dev/articles/vsock.html |
| CrackArmor | multiple | 아직 미포함 | - | URL |
| needrestart | multiple | 아직 미포함 | - | https://www.qualys.com/2024/11/19/needrestart/needrestart.txt |
| StackRot | CVE-2023-3269 | 아직 미포함 | - | https://www.openwall.com/lists/oss-security/2023/07/28/1 |
LES 도구는 주어진 Linux 커널/Linux 기반 머신의 보안 결함을 탐지하는 데 도움을 주기 위해 설계되었습니다. 다음과 같은 기능을 제공합니다:
이 도구는 주어진 Linux 시스템이 공개적으로 알려진 Linux 권한 상승 익스플로잇에 얼마나 노출되어 있는지 평가합니다(여기에서 자세히 논의된 휴리스틱 방법 사용). 도구 출력 예시:
$ ./linux-exploit-suggester.sh
...
[+] [CVE-2017-16995] eBPF_verifier
Details: https://ricklarabee.blogspot.com/2018/07/ebpf-and-analysis-of-get-rekt-linux.html
Exposure: highly probable
Tags: debian=9.0{kernel:4.9.0-3-amd64},fedora=25|26|27,[ ubuntu=14.04 ]{kernel:4.4.0-89-generic},ubuntu=(16.04|17.04){kernel:4.(8|10).0-(19|28|45)-generic}
Download URL: https://www.exploit-db.com/download/45010
Comments: CONFIG_BPF_SYSCALL needs to be set && kernel.unprivileged_bpf_disabled != 1
[+] [CVE-2017-1000112] NETIF_F_UFO
Details: http://www.openwall.com/lists/oss-security/2017/08/13/1
Exposure: probable
Tags: [ ubuntu=14.04{kernel:4.4.0-*} ],ubuntu=16.04{kernel:4.8.0-*}
Download URL: https://raw.githubusercontent.com/xairy/kernel-exploits/master/CVE-2017-1000112/poc.c
ext-url: https://raw.githubusercontent.com/bcoles/kernel-exploits/cve-2017-1000112/CVE-2017-1000112/poc.c
Comments: CAP_NET_ADMIN cap or CONFIG_USER_NS=y needed. SMEP/KASLR bypass included. Modified version at 'ext-url' adds support for additional distros/kernels
[+] [CVE-2016-8655] chocobo_root
Details: http://www.openwall.com/lists/oss-security/2016/12/06/1
Exposure: probable
Tags: [ ubuntu=(14.04|16.04){kernel:4.4.0-(21|22|24|28|31|34|36|38|42|43|45|47|51)-generic} ]
Download URL: https://www.exploit-db.com/download/40871
Comments: CAP_NET_RAW capability is needed OR CONFIG_USER_NS=y needs to be enabled
...
각 익스플로잇에 대해 노출도가 계산됩니다. 다음과 같은 '노출도' 상태가 가능합니다:
Highly probable - 평가된 커널이 영향을 받을 가능성이 가장 높으며, PoC 익스플로잇이 별다른 수정 없이 그대로 작동할 가능성이 매우 높습니다.
Probable - 익스플로잇이 작동할 가능성은 있지만, 대상에 맞게 PoC 익스플로잇을 맞춤 수정해야 할 가능성이 높습니다.
Less probable - 커널이 영향을 받는지 확인하려면 추가적인 수동 분석이 필요합니다.
Unprobable - 커널이 영향을 받을 가능성이 매우 낮습니다 (익스플로잇이 도구 출력에 표시되지 않음)
LES는 Linux 커널에서 사용 가능한 대부분의 보안 설정을 확인할 수 있습니다. 커널 컴파일 시점 구성(CONFIG)뿐만 아니라 런타임 설정(sysctl)도 확인하여 실행 중인 커널의 보안 상태에 대한 보다 완전한 그림을 제공합니다. 이 기능은 Tobias Klein의 checksec.sh 도구에서 --kernel 스위치의 현대적 연속선상에 있는 기능입니다. 도구 출력 예시:
$ ./linux-exploit-suggester.sh --checksec
Mainline kernel protection mechanisms:
[ Disabled ] GCC stack protector support (CONFIG_HAVE_STACKPROTECTOR)
https://github.com/mzet-/les-res/blob/master/features/stackprotector-regular.md
[ Disabled ] GCC stack protector STRONG support (CONFIG_STACKPROTECTOR_STRONG)
https://github.com/mzet-/les-res/blob/master/features/stackprotector-strong.md
[ Enabled ] Low address space to protect from user allocation (CONFIG_DEFAULT_MMAP_MIN_ADDR)
https://github.com/mzet-/les-res/blob/master/features/mmap_min_addr.md
[ Disabled ] Restrict unprivileged access to kernel syslog (CONFIG_SECURITY_DMESG_RESTRICT)
https://github.com/mzet-/les-res/blob/master/features/dmesg_restrict.md
[ Enabled ] Randomize the address of the kernel image (KASLR) (CONFIG_RANDOMIZE_BASE)
https://github.com/mzet-/les-res/blob/master/features/kaslr.md
[ Disabled ] Hardened user copy support (CONFIG_HARDENED_USERCOPY)
https://github.com/mzet-/les-res/blob/master/features/hardened_usercopy.md
...
Linux 시스템이 공개적으로 알려진 익스플로잇에 노출되어 있는지 평가합니다:
$ ./linux-exploit-suggester.sh
Linux 머신의 보안 기능 상태 표시:
$ ./linux-exploit-suggester.sh --checksec
제공된 'uname' 문자열(즉, uname -a 명령의 출력)을 기반으로 공개적으로 알려진 익스플로잇에 대한 Linux 커널의 노출을 평가합니다:
$ ./linux-exploit-suggester.sh --uname <uname-string>
더 많은 사용 예시는 여기를 참고하세요.
이제 LES가 무엇이고 여러분에게 무엇을 해줄 수 있는지 아셨을 것입니다. 이제 LES를 위해 여러분이 무엇을 할 수 있는지 살펴보세요:
Tags 형태로 문서화하세요. 예를 들어 태그 ubuntu=12.04{kernel:3.(2|5).0-(23|29)-generic}는 다음과 같은 의미입니다: 태그된 익스플로잇이 Ubuntu 12.04에서 커널 3.2.0-23-generic, 3.2.0-29-generic, 3.5.0-23-generic, 3.5.0-29-generic에서 정상 동작함이 검증되었음;. 이 태그를 추가하면 LES는 나열된 커널 버전 중 하나를 사용하는 Ubuntu 12.04에서 실행될 때 해당 익스플로잇의 동적 Rank를 자동으로 강조하고 올려줍니다. 이는 침투 테스트 중에 여러분(그리고 다른 사람들)이 치명적으로 취약한 Linux 머신을 신속하게 식별하는 데 도움이 됩니다.ext-url 항목으로 LES에 추가하고, 새로 추가된 대상들을 반영하도록 Tags를 수정하세요. 특정 PoC 익스플로잇을 다른 커널 버전에 맞게 적용한 훌륭한 예시는 이 글을 참고하세요.FEATURES 배열에 추가하고(아직 없다면), 분석 결과를 https://github.com/mzet-/les-res/blob/master/features/<feature-name>.md에 게시하세요.LES에 뛰어나고 빈번한 기여를 해준 bcoles에게 감사드립니다.