CVE-2019-5736 PoC

Este repositório contém um exploit de prova de conceito baseado em C para CVE-2019-5736.

Essa vulnerabilidade permite que um contêiner Docker malicioso sobrescreva o binário runc do host e execute comandos arbitrários no host com privilégios de root – comprometendo totalmente o sistema host.

Inspirado no PoC original baseado em Go por Frichetten

Aviso Legal

Este código é apenas para fins educacionais. Não o execute em nenhum sistema que você não possua ou para o qual não tenha permissão de teste. O uso indevido pode resultar em consequências legais.

Conteúdo

1. Estrutura do Projeto
2. Configuração do Ambiente e Instalação
3. Uso

1. Estrutura do Projeto

.
├── docker/                       
│   └── Dockerfile
├── lib/                           
│   └── exploit.h
├── scripts/                       
│   ├── build_docker.sh
│   ├── purge_docker_installation.sh
│   ├── setup_env.sh
│   ├── start_docker.sh
│   └── trigger_exploit.sh
├── src/                         
│   ├── exploit.c
│   └── main.c
├── LICENSE
├── Makefile
└── README.md

2. Configuração do Ambiente e Instalação

Este exploit foi testado em:

• Ubuntu 18.04.1 → Baixar ISO
• Docker 18.09.1 → Baixar binários

Instalação Passo a Passo

0. Instalar dependências

sudo ./scripts/install_dependencies.sh

Nota: Você pode pular esta etapa com segurança se já tiver instalado wget e build-essential.

1. Instalar o Docker via script

sudo ./scripts/setup_env.sh

Este script instala o Docker sem systemd ou ativação via socket. É ideal para laboratórios de VM.

2. Iniciar o Docker manualmente

sudo dockerd

Nota: Você precisará de um segundo terminal para executar isso em segundo plano.

3. Construir o contêiner do exploit

sudo ./scripts/build_docker.sh

Este script compila o exploit e cria uma imagem Docker com o binário dentro.

Nota: Você também pode compilar manualmente o binário do exploit executando make.

Opcional: Limpar o ambiente

Você pode remover completamente o Docker e restaurar o sistema ao estado anterior à instalação:

sudo ./scripts/purge_docker_installation.sh

3. Uso

Primeiro, iniciamos nosso contêiner do exploit. Você pode usar este comando:

sudo docker run -it --name exp --rm runc_exploit

ou o script de shell incluído:

sudo ./scripts/start_docker.sh

Dentro do contêiner, agora podemos iniciar nosso binário do exploit:

./exploit -c "$COMAND"

O binário aceita três argumentos: -h exibe a mensagem de uso, -c define a string de comando do payload que queremos executar no host. O último argumento, -d, alterna as impressões de depuração durante a execução (ex.: análise de informações de /proc).

Nota: Se o argumento -c não for fornecido, o exploit executará cp /etc/shadow > /tmp/pwned && chmod 644 /tmp/pwned.

O exploit agora aguarda um processo runc no host. Execute:

sudo ./scripts/trigger_exploit.sh

Este script abrirá um novo processo dentro do contêiner executando bin/sh e, portanto, acionando o exploit.

Nota: Você também pode acionar o exploit executando docker exec manualmente no host, mas o timing é crítico para que a versão atual do PoC funcione. Portanto, pode ser necessário tentar algumas vezes...

Se o runc foi explorado com sucesso, você deve ver uma saída semelhante:

Agora podemos abrir nosso arquivo shadow comprometido: