Equipe CVE-MD

Este repositório fornece uma prova de conceito para CVE-2023-0386: https://nvd.nist.gov/vuln/detail/CVE-2023-0386

Membros da equipe: Bǎnicǎ Dragoș-Marius e Borsos Matheas-Roland

Aqui está o vídeo: https://www.youtube.com/watch?v=Ikux1rjIYP0

CVE-2023-0386 — Escalada Local de Privilégios no OverlayFS do Linux (PoC)

Visão Geral

Este repositório contém um exploit de prova de conceito (PoC) para CVE-2023-0386, uma vulnerabilidade de escalada local de privilégios no subsistema OverlayFS do kernel Linux.

A vulnerabilidade permite que um usuário local sem privilégios escale privilégios para root ao explorar o tratamento incorreto de capacidades de arquivo e propriedade durante operações de copy-up do OverlayFS. O PoC demonstra como uma configuração OverlayFS cuidadosamente elaborada pode produzir um executável que mantém privilégios elevados, mesmo quando copiado de um ponto de montagem nosuid.

Contexto da Vulnerabilidade

O que é OverlayFS?

OverlayFS é um sistema de arquivos de união usado para combinar múltiplas árvores de diretórios em uma única visão unificada. Ele é amplamente usado em:

• Contêineres (Docker, Kubernetes)
• Sistemas de sandbox
• Layouts de SO imutáveis

OverlayFS consiste em:

• Camada inferior (somente leitura)
• Camada superior (gravável)
• Visão mesclada

Quando um arquivo da camada inferior é modificado, o OverlayFS executa uma operação de copy-up: o arquivo é copiado para a camada superior e então modificado lá.

Causa Raiz do CVE-2023-0386

A vulnerabilidade está em como o OverlayFS lida com metadados de arquivo durante o copy-up, especificamente:

• Capacidades de arquivo (por exemplo, CAP_SETUID)
• Propriedade e bits de permissão
• Interações com opções de montagem nosuid
• Mapeamentos de UID/GID de namespace de usuário

Nas versões do kernel afetadas:

• O OverlayFS falha ao remover as capacidades corretamente ao copiar arquivos de uma camada inferior nosuid.
• Sob certas condições, o arquivo copiado mantém atributos elevados.
• A execução desse arquivo permite a escalada para root.

Isso quebra a suposição de segurança de que montagens nosuid impedem a escalada de privilégios.

Estrutura do Repositório

CVE-2023-0386_POC/
├── exp.c # Main exploit logic
├── fuse.c # User-space filesystem helper (FUSE)
├── getshell.c # Privilege escalation payload
├── ovlcap/ # OverlayFS capability test utilities
│ ├── Makefile
│ └── ...
├── Makefile # Top-level build instructions
└── README.md

Fluxo do Exploit em Alto Nível

1. Configuração Controlada do Sistema de Arquivos

• Um sistema de arquivos FUSE é montado para simular uma camada inferior nosuid.
• O OverlayFS é configurado com uma camada superior gravável.

2. Binário com Capacidades

• Um binário com capacidades de arquivo é colocado na camada inferior.

3. Gatilho de Copy-Up

• O OverlayFS copia o arquivo para a camada superior.
• Devido à vulnerabilidade, a remoção de capacidades é incompleta.

4. Escalada de Privilégios

• O binário copiado é executado.
• O kernel concede erroneamente privilégios elevados.
• Um shell root é gerado.

Prova de Conceito

Requisitos do Sistema

• VM com sistema operacional Ubuntu 22.04
• Um kernel vulnerável (5.15.0-25-generic)
• Suporte FUSE habilitado
• Ferramentas de desenvolvimento:
  • gcc
  • make
  • libfuse-dev (ou equivalente)
  • libcap-dev (ou equivalente)

Compilação

git clone https://github.com/dragosbanica/CVE-2023-0386_POC.git
cd CVE-2023-0386_POC
make all

Como usar

Abra dois terminais e no primeiro digite

./fuse ./ovlcap/lower ./gc

No segundo terminal digite

./exp