CVE-2024-0582

Um ataque apenas de dados baseado no CVE-2024-0582

Descrição

O exploit segue a estratégia deste post no blog, exceto que eu não usei um processo filho para abrir arquivos.

Encontrei alguns exploits no GitHub que seguem a estratégia deste artigo.

Depois que eu reproduzi o exploit com sequestro de fluxo de controle baseado em soquete, tentei implementar o exploit com um ataque apenas de dados, que parece ainda não ter sido disponibilizado como código aberto.

Experimente o Claude

Alimentei os dois artigos acima e https://github.com/ysanatomic/io_uring_LPE-CVE-2024-0582/blob/main/exploit.c no Claude e disse:

Você poderia modificar o código para se adequar ao ataque apenas de dados? Isso significa abrir arquivo em vez de soquete, usar ext4_file_operations em vez de egg, deletar o sequestro de fluxo de controle e modificar a permissão do arquivo.

Isso gerou um código com um processo filho. Mas acho difícil depurar se eu usar um processo filho. Então eu disse:

Por que não abrir o arquivo no próprio processo, sem usar um filho?

Então ele gerou quase o código existente.

Então eu:

1. Ajustei a string de backdoor para facilitar o entendimento.
2. Ajustei as flags de modo de arquivo com base no código-fonte. O que o Claude gerou estava errado.
3. Aumentei o número de fd para pulverizar mais file struct, já que é muito mais curto que sock struct.

Uso

1. Verifique o ext4_fops_offset.
2. Verifique as flags de modo de arquivo.
3. Talvez aumente o número de fd para pulverizar mais file struct.
4. Compile e execute.

gcc exploit.c -o exploit -luring
./exploit

5. Verifique o usuário backdoor. Ou simplesmente faça logout e depois login com o usuário backdoor.

sudo cat /etc/passwd # If you can use sudo