CVE-2017-11176

Prova de conceito para CVE-2017-11176 para execução de código.

Vulnerabilidade

A função mq_notify no kernel Linux até a versão 4.11.9 não define o ponteiro sock como NULL ao entrar na lógica de repetição. Durante o fechamento em espaço de usuário de um socket Netlink, isso permite que atacantes causem uma negação de serviço (use-after-free) ou possivelmente tenham outro impacto não especificado.

Referência

• https://blog.lexfo.fr/cve-2017-11176-linux-kernel-exploitation-part1.html
• https://blog.lexfo.fr/cve-2017-11176-linux-kernel-exploitation-part2.html
• https://blog.lexfo.fr/cve-2017-11176-linux-kernel-exploitation-part3.html
• https://blog.lexfo.fr/cve-2017-11176-linux-kernel-exploitation-part4.html

Confira esses posts, aprendi muito com eles.

Limitação

• SMAP está desabilitado
• KASLR está desabilitado
• O alocador SLAB é explorado
• Existem muitos endereços e offsets hardcoded.

Outros arquivos

• heap.c: é usado para descobrir o cache alvo
• *.stp: esses arquivos são usados para depuração com System Tap. Além disso, offset.stap imprime o offset das estruturas.
• gdb.script: script do gdb para depuração. Isso acionará o breakpoint se RAX estiver no espaço do usuário. Observe que inseriremos o segundo breakpoint depois de atingir o primeiro para evitar problemas de desempenho (wake_up é chamado muitas vezes).