CVE-2019-5736-ataque-e-mecanismo-de-segurança

Neste projeto, encontramos um ataque recente através do contêiner malicioso e implementamos um mecanismo de segurança para impedi-lo.

Introdução

Os ciberataques tornaram-se um desafio crítico tanto para empresas quanto para pequenos negócios, em grande parte devido a vulnerabilidades em diversos componentes de seus recursos de TI. Entender essas ameaças é o primeiro passo para proteger os dados e ativos de uma organização. Formas comuns de ataques incluem malware, ransomware e phishing. Estudos recentes destacam a crescente prevalência de ataques direcionados a infraestruturas de contêineres. Os adversários frequentemente exploram contêineres mal configurados localizando-os através de motores de busca públicos e ferramentas de varredura.
Assim, neste projeto, implementamos um ataque usando a vulnerabilidade CVE-2019-5736 do Docker e identificamos um mecanismo de segurança para prevenir um ataque.

Implementação e Execução do Ataque

Usamos a seguinte configuração para implementar com segurança um ataque e mecanismo de segurança. Na máquina base com Windows OS, a estação de trabalho VMware foi implantada com a máquina virtual Ubuntu 18.04 OS. Além disso, o aplicativo de contêiner Docker 18.03.1-ce (Runc 1.0.0-rc5) foi instalado no Ubuntu 18.04.

O arquivo "usr/docker/runc" é um arquivo interno executável sensível que nenhum usuário terceiro deveria ser capaz de modificar. No entanto, a versão 18.03 do Docker tem a vulnerabilidade pela qual não registra a modificação do arquivo docker "runc"; como resultado, o atacante pode usar essa vulnerabilidade para modificar o arquivo "usr/docker/runc" e obter acesso root ao nosso sistema Linux.

1. Criamos um backup do arquivo "usr/docker/runc" e seu hash para confirmar a modificação deste arquivo após a execução do ataque.
2. Adicionamos scripts maliciosos à configuração do contêiner, que modificarão o arquivo "usr/docker/runc" após um usuário típico executar o contêiner malformado.
3. Construímos o contêiner
4. O atacante configura um listener em seu dispositivo (neste caso, é nossa máquina Windows) para um número de porta específico mencionado nos scripts maliciosos (por exemplo, porta 1234). Sempre que o usuário executa esse contêiner, o atacante se conecta à máquina do usuário com acesso root.
5. Executamos o contêiner malformado

Como resultado:

• O atacante está conectado à máquina do usuário com privilégios de acesso root
• O valor hash do arquivo "usr/docker/runc" após o ataque não é igual ao hash do arquivo de backup, significando que o ataque foi bem-sucedido

Mecanismo de Segurança

A causa raiz dessa vulnerabilidade é a capacidade da imagem docker maliciosa de alterar o arquivo “/usr/docker/runc” e incluir código hostil no arquivo executável.

Para impedir que esse ataque ocorra, usamos o comando "Chattr" para tornar o arquivo “/usr/docker/runc” imutável. Como resultado, o exploit falha ao executar e não há resposta do lado do atacante.

O mecanismo de segurança que aplicamos de fato interrompe o ataque, significando que conseguimos evitar que o código malicioso explorasse a vulnerabilidade daquele arquivo docker específico que encontramos. Para o mecanismo de segurança, não pudemos usar o comando 'chmod' porque nessa vulnerabilidade específica que usamos, o acesso root é concedido ao ataque. Assim, o comando "chmod" não poderia prevenir um ataque.

Resumo

Neste projeto, escolhemos implementar um ataque que explorou a vulnerabilidade CVE-2019-5736 com a pontuação CVSS HIGH, que dá a um atacante acesso remoto à máquina do usuário com privilégios root. Executamos o ataque com sucesso e encontramos o mecanismo de segurança para preveni-lo.

Desafios:

• Instalação de versão mais antiga do Docker
• Modificação do código de exploit disponível para executar um ataque