Etapa 2 – Buscar Vulnerabilidades no Kernel

Como a escalação de privilégios no Linux geralmente depende de kernels vulneráveis, pesquisei no Exploit-DB usando o SearchSploit:

Resultado:

Esse exploit tem como alvo a CVE-2015-1328, que afeta kernels Ubuntu anteriores às versões corrigidas.

Etapa 3 – Entender a Vulnerabilidade

Antes de executar qualquer exploit, é importante entender o que ele faz.

O exploit abusa de uma falha no OverlayFS, o sistema de arquivos union do Linux.

A vulnerabilidade existe porque o OverlayFS lida incorretamente com permissões de arquivos quando montado dentro de um namespace de usuário (CLONE_NEWUSER).

Um usuário sem privilégios pode manipular o OverlayFS para criar ou modificar arquivos que só deveriam poder ser gravados por root.

O exploit acaba gravando em:

Esse arquivo informa ao carregador dinâmico do Linux que uma biblioteca compartilhada deve ser carregada antes de cada executável com vínculo dinâmico.

Ao forçar o sistema a carregar uma biblioteca compartilhada maliciosa, o exploit obtém execução de código como root.

Etapa 4 – Obter o Exploit

Usando o SearchSploit:

Isso copiou o exploit localmente:

O exploit foi então transferido para a máquina da vítima.

Neste passo a passo, ele foi salvo como:

Etapa 5 – Compilar o Exploit

Navegue até o diretório que contém o exploit:

Compile-o usando o GCC:

Se a compilação for bem-sucedida, o GCC não produz saída.

Verifique se o executável existe:

Esperado:

Etapa 6 – Executar o Exploit

Execute o executável:

O exploit exibe mensagens semelhantes a:

Por fim, ele abre um shell root:

Verifique os privilégios:

Saída:

Etapa 7 – Recuperar a Flag

Com os privilégios de root obtidos:

O arquivo agora pôde ser lido com sucesso.

Como o Exploit Funciona

O exploit realiza várias ações internamente.

1. Cria um Namespace de Usuário

Namespaces de usuário no Linux permitem que um processo sem privilégios aparente ser root dentro do namespace, sem ser root no host.

Essa capacidade é essencial para o ataque.

2. Cria um Namespace de Montagem

Um namespace de montagem separado isola alterações no sistema de arquivos do restante do sistema operacional.

Isso permite que o exploit monte o OverlayFS sem afetar o sistema de arquivos global.

3. Monta o OverlayFS

O exploit cria diretórios temporários:

Em seguida, monta o OverlayFS:

Devido à vulnerabilidade do kernel, o OverlayFS permite incorretamente operações que deveriam exigir privilégios de root.

4. Cria /etc/ld.so.preload

O exploit renomeia um arquivo gravável dentro da montagem OverlayFS para:

Após remontar o OverlayFS sobre /etc, esse arquivo se torna:

Normalmente, apenas root deveria conseguir criar esse arquivo.

5. Constrói uma Biblioteca Compartilhada Maliciosa

O exploit escreve um arquivo de código-fonte C:

Depois, compila-o:

A biblioteca compartilhada resultante substitui a função getuid().

6. Sequestra o Carregador Dinâmico

O exploit escreve:

em:

Agora, todo executável com vínculo dinâmico carrega essa biblioteca maliciosa antes de qualquer biblioteca do sistema.

7. Executa /bin/su

Por fim:

Quando o su inicia, a função maliciosa getuid() é executada no lugar da original.

A biblioteca:

• remove /etc/ld.so.preload
• exclui a biblioteca compartilhada maliciosa
• chama:

• inicia:

O resultado é um shell root interativo.

Por Que Isso Funciona

A vulnerabilidade é causada pelo tratamento incorreto de permissões no OverlayFS quando usado dentro de namespaces de usuário.

Um usuário sem privilégios pode manipular o OverlayFS para criar arquivos privilegiados como:

Como o carregador dinâmico confia nesse arquivo, código arbitrário é executado como root.

Mitigação

Essa vulnerabilidade foi corrigida pela Ubuntu em versões atualizadas do kernel.

As estratégias de mitigação incluem:

• Atualizar o kernel Linux para uma versão corrigida.
• Desabilitar namespaces de usuário sem privilégios quando não forem necessários.
• Restringir o uso do OverlayFS.
• Aplicar atualizações de segurança regularmente.
• Monitorar modificações não autorizadas em:
  • /etc/ld.so.preload
  • /etc/ld.so.cache

Principais Conclusões

• Sempre enumere a versão do kernel durante a escalação de privilégios no Linux.
• Verifique se a versão do kernel é vulnerável antes de tentar a exploração.
• Leia e entenda o código do exploit antes de executá-lo.
• Exploits de kernel podem levar diretamente a privilégios de root, mas também podem derrubar o sistema alvo.
• Em testes de penetração no mundo real, a exploração do kernel só deve ser tentada quando explicitamente autorizada, devido ao impacto potencial na estabilidade do sistema.

Comandos Utilizados