CVE-2023-4863 — Laboratório de exploração de libwebp

Reprodução do CVE-2023-4863 (heap buffer overflow no libwebp) em um ambiente Docker completamente isolado e automatizado. Baseado na prática do módulo de Hacking Ético da CEFIRE.

O que este lab faz

Sobe oito containers em rede privada:

A demonstração automática (victim-cli vs victim-patched) acontece sozinha na inicialização. A demonstração visual na GUI requer interação manual a partir do Guacamole.

Requisitos

• Docker Engine 24+
• Docker Compose v2
• ~5 GB de RAM disponíveis
• ~10 GB de disco (imagens + camadas)

Iniciar o lab

make up

make up faz três coisas automaticamente se for a primeira vez:

1. Gera o schema SQL do Guacamole (executa initdb.sh a partir da imagem oficial)
2. Constrói as imagens dos containers
3. Sobe tudo

O build leva alguns minutos na primeira vez (baixa imagens base, clona o repo do PoC, instala pacotes). As execuções seguintes usam o cache do Docker e são quase instantâneas.

Quando termina, você verá a URL do Guacamole no output. Os containers das vítimas não iniciam até que o atacante esteja pronto e servindo o exploit (healthcheck).

Credenciais

Ver a demonstração automática (CLI)

Em um terminal, enquanto o lab está rodando:

# Ver el crash en la víctima vulnerable
make logs-victim-cli

# Ver la respuesta controlada en la víctima parcheada
make logs-victim-patched

O que você verá em victim-cli:

[*] Ejecutando: dwebp /tmp/exploit.webp -o /tmp/salida.png

Decoding of exploit.webp failed.
Status: 3(BITSTREAM_ERROR)
*** glibc detected *** double free or corruption (!prev) ***
Aborted (core dumped)

[!] EXIT CODE: 134 (SIGABRT)
[!] CVE-2023-4863 CONFIRMADO

O que você verá em victim-patched:

[*] Ejecutando: dwebp /tmp/exploit.webp -o /tmp/salida.png

Decoding of exploit.webp failed.
Status: 3(BITSTREAM_ERROR)

[+] EXIT CODE: 1 — Error controlado
[+] CVE-2023-4863 MITIGADO

Demonstração visual na área de trabalho (GUI)

A demonstração mais visual é feita comparando victim-gui (vulnerável) com victim-gui-patched (corrigida) usando dwebp a partir de um terminal da área de trabalho XFCE.

Passos

1. Abra http://localhost:8888/guacamole no seu navegador
2. Login: guacadmin / guacadmin
3. Na vítima vulnerável (Firefox 110):
   • Selecione [VÍTIMA GUI] VNC — Área de trabalho Chrome
   • Abra um terminal na área de trabalho XFCE
   • Execute:
     root@kitploit:~

     firefox --no-sandbox http://attacker/index.html
     

   • O Firefox 110 tenta renderizar exploit.webp → crash (SIGABRT, processo morto)
4. Na vítima corrigida (Firefox 126):
   • Selecione [VÍTIMA GUI PATCH] VNC — Área de trabalho Chrome patch
   • Mesmo comando → O Firefox 126 lida com o erro sem crashar

Por que Firefox em vez de Chrome

A Mozilla mantém um arquivo público permanente de todas as suas versões em releases.mozilla.org. O Google removeu as URLs de versões antigas do Chrome do seu CDN, tornando impossível baixar o Chrome 116 de forma confiável. O Firefox 110 é igualmente vulnerável (ambos embutem o libwebp internamente) e seu download a partir do arquivo da Mozilla é estável e reproduzível.

Acesso direto por SSH (sem Guacamole)

ssh root@localhost -p 2220   # attacker
ssh root@localhost -p 2221   # victim-cli
ssh root@localhost -p 2223   # victim-patched
ssh root@localhost -p 2222   # victim-gui
ssh root@localhost -p 2224   # victim-gui-patched

VNC direto: localhost:5900 (victim-gui) e localhost:5901 (victim-gui-patched).

Comandos úteis

make logs                    # todos los logs en tiempo real
make status                  # estado de los containers
make shell-attacker          # shell en el atacante
make shell-victim-cli
make shell-victim-gui
make shell-victim-gui-patched
make down                    # parar el lab
make clean                   # parar + borrar imágenes y redes

Notas

Chrome e libwebp: o Chrome empacota sua própria cópia do libwebp (não usa a do sistema). As versões ≥ 116.0.5845.187 incluem o patch. Como o Google removeu as URLs de versões antigas, o Dockerfile cai no fallback com a versão estável atual (corrigida). A demonstração do crash com dwebp é igualmente válida e mais confiável.

Rede isolada: nenhum container tem acesso à Internet durante a execução. Todo o tráfego permanece dentro da rede Docker privada cve4863-lab-net.