CVE-2024-0582

Introdução

Este exploit implementa um método de ataque Dirty Cred para obter acesso de escrita não autorizado ao /etc/passwd. Ao contrário de muitos exploits semelhantes que criam inúmeras páginas ou pulverizam agressivamente descritores de arquivos, esta abordagem segue um caminho mais direcionado para corromper as estruturas necessárias do kernel.

Fluxo do Exploit (Alto Nível)

• Definir Afinidade da CPU e Aumentar o Limite de FD
  Garante desempenho estável e descritores de arquivos suficientes para a pulverização.

• Inicializar io_uring
  Cria uma instância io_uring e registra um buffer ring para uso de memória do kernel.

• Desregistrar o Buffer Ring
  Aciona a vulnerabilidade, deixando as estruturas de dados do kernel em um estado explorável.

• Pulverização de Descritores de Arquivo
  Abre inúmeros FDs para /etc/passwd, na esperança de corromper o objeto do kernel desejado.

• Modificar Modo do Arquivo
  Corrompe as flags f_mode para que /etc/passwd se torne gravável.

• Escrever Entrada Backdoor
  Insere evil::0:0:root:/root:/bin/bash no /etc/passwd.

Requisitos

• Kernel Linux com uma implementação io_uring vulnerável (testado em um kernel com o bug CVE-2024-0582).
• Rust Toolchain (se for compilar os arquivos fonte .rs).
• EXT4_FOPS_OFFSET:
  Pode ser necessário ajustar o valor de EXT4_FOPS_OFFSET no main.rs (o padrão é 0x122b3c0) dependendo da sua versão do Linux. Uma incompatibilidade pode fazer o exploit falhar ou se comportar incorretamente.

Determinando os Valores de Offset Corretos

Se o seu kernel exporta informações de símbolos e você tem as permissões adequadas (muitas vezes isso é restrito em sistemas de produção), você pode ler a partir de /proc/kallsyms:

1. Obtenha o endereço de _text:

   root@kitploit:~

   grep " _text" /proc/kallsyms
   

   Vamos chamar o endereço resultante de TEXT_ADDR.

2. Obtenha o endereço de ext4_file_operations:

   root@kitploit:~

   grep ext4_file_operations /proc/kallsyms
   

   Vamos chamar o endereço resultante de EXT4_FOPS_ADDR.

3. Subtraia:

   root@kitploit:~

   EXT4_FOPS_OFFSET = EXT4_FOPS_ADDR – TEXT_ADDR