Ambiente de análise do CVE-2023-4911 "Looney Tunables"

Ambiente de prática baseado em Docker para análise da vulnerabilidade de buffer overflow (Escalada de Privilégio Local) no carregador dinâmico da GNU C Library (glibc) e desenvolvimento de exploit.

Informações do CVE

Mecanismo da Vulnerabilidade

O carregador dinâmico glibc (ld.so) analisa a variável de ambiente GLIBC_TUNABLES durante a execução do programa.
Quando um binário SUID é executado, __libc_enable_secure = 1 é definido, e o ld.so entra no caminho de código que anula (nullify) essa variável de ambiente.
Nesse processo, um cálculo incorreto de comprimento para entradas no formato tunable1=tunable2=value causa um buffer overflow.

일반 바이너리:  __libc_enable_secure = 0  →  nullify 코드 미진입  →  취약점 없음
SUID 바이너리:  __libc_enable_secure = 1  →  nullify 코드 진입   →  버퍼 오버플로우 발생

Fluxo do exploit:

GLIBC_TUNABLES 오버플로우
        ↓
ld.so BSS 영역 link_map 포인터 덮어쓰기
        ↓
라이브러리 검색 경로를 evil_lib/ 경로로 변조
        ↓
evil.so 로드 → constructor 자동 실행
        ↓
setuid(0) + execve("/bin/bash") → root shell 획득

Objetivo e Direção da Construção do Ambiente

Este ambiente foi projetado para ir além da simples execução de PoC, visando analisar diretamente o princípio de funcionamento da vulnerabilidade e desenvolver um exploit.

• Reproduzir um ambiente real com a versão vulnerável do glibc (2.35-0ubuntu3.3)
• Fornecer um ambiente onde o código-fonte do ld.so e o binário executável possam ser analisados juntos
• Suporte para análise dinâmica via GDB / gef / gdbserver
• Praticar diretamente o cenário de escalada de privilégios de usuário comum (researcher) para root
• Isolamento completo via Docker para que qualquer membro da equipe possa iniciar a análise no mesmo ambiente

Estrutura do Projeto

CVE-2023-4911/
├── Dockerfile                  # 취약 환경 이미지 정의 (Multi-stage 빌드)
├── run.sh                      # Docker 빌드/실행 관리 스크립트
├── check_environment.sh        # 컨테이너 시작 시 환경 자동 검증
├── poc/
│   ├── exploit.py              # 기본 PoC — crash(SIGSEGV) 확인용
│   ├── exploit_lpe.py          # LPE 익스플로잇 — GDB 분석 후 완성
│   └── evil_lib/
│       ├── evil.c              # root shell 실행하는 악성 공유 라이브러리
│       └── Makefile
└── test_targets/
    ├── test_suid.c             # SUID 테스트 바이너리 소스
    └── test_heap.c             # 힙 할당 테스트 바이너리 소스

Requisitos de Ambiente

• Docker
• Linux ou WSL2 (Windows)

Como Usar

1. Construir imagem e executar contêiner

./run.sh build && ./run.sh run

2. Inserir senha sudo

O contêiner solicitará a senha sudo ao iniciar.

비밀번호: password

3. Verificar vulnerabilidade

# SIGSEGV 발생 여부 확인
python3 /workspace/poc/exploit.py --check-only

# 직접 트리거
GLIBC_TUNABLES=glibc.malloc.mxfast=glibc.malloc.mxfast=AAAA \
  /workspace/test_targets/test_suid

4. Análise com GDB

# 컨테이너 내부 직접 분석
gdb -q /workspace/test_targets/test_suid

# 원격 디버깅 (gdbserver)
# 컨테이너 내부
gdbserver :1234 /workspace/test_targets/test_suid

# 로컬 호스트
gdb
(gdb) target remote localhost:1234

5. Executar exploit LPE

Após analisar OVERFLOW_OFFSET e TARGET_ADDR com GDB, atualize os valores no início do exploit_lpe.py e execute.

python3 /workspace/poc/exploit_lpe.py

Opções do run.sh

Informações do Ambiente de Análise

Pontos de Análise

Análise Estática

# 취약 함수 위치
/workspace/glibc-source/elf/dl-tunables.c

# 주요 함수
__tunables_init()   # 진입점
parse_tunables()    # 오버플로우 발생 지점
tunables_strdup()   # 버퍼 할당

Análise Dinâmica

# strace로 시스템 콜 추적
strace -e trace=mmap GLIBC_TUNABLES="..." /workspace/test_targets/test_suid

# GDB로 __tunables_init 분석
gdb /workspace/test_targets/test_suid
(gdb) break __tunables_init
(gdb) set environment GLIBC_TUNABLES=glibc.malloc.mxfast=glibc.malloc.mxfast=AAAA
(gdb) run

Avisos

Este ambiente deve ser usado apenas para fins educacionais e de pesquisa em segurança.

• Este ambiente foi criado para aprendizado de vulnerabilidades e pesquisa de desenvolvimento de exploits.
• Nunca use em sistemas de produção ou em alvos não autorizados.
• O contêiner é executado no modo --privileged, portanto, use apenas em um ambiente isolado.
• Toda a responsabilidade legal decorrente do uso indevido do código deste repositório é do próprio usuário.

Referências

• Qualys Security Advisory
• Repositório oficial do glibc
• Ubuntu Security Notice USN-6404-1