README

Nota: O código neste repositório é para demonstrar o isolamento de tecnologias de sandbox de pods seguros, como kata containers, e não tem a intenção de atacar nenhuma plataforma.

Como reproduzir

• Obter o kernel Linux 4.13.0
• Aplicar o patch 0001-CVE-2017-5123-help-to-make-attack-safely.patch
• Compilar o kernel Linux com a configuração Kconfig
• Inicializar o kernel e obter o endereço de dac_mmap_min_addr, have_canfork_callback, prepare_kernel_cred, commit_creds, set_fs_root, copy_fs_struct, current_task com os seguintes comandos. Atualizar o endereço em CVE-2017-5123.c

echo 0 > /proc/sys/kernel/kptr_restrict
cat /proc/kallsyms

• gdb vmlinux
• Obter o tamanho de TASK_FS_OFFSET e atualizar o endereço em CVE-2017-5123.c

(gdb) p &(((struct task_struct *)0)->fs)

• Obter o tamanho de TASK_PARENT_OFFSET e atualizar o endereço em CVE-2017-5123.c

(gdb) p &(((struct task_struct *)0)->parent)

• Obter o tamanho de FS_ROOT_OFFSET e atualizar o endereço em CVE-2017-5123.c

(gdb) p &(((struct fs_struct *)0)->root)

• Compilar CVE-2017-5123.c com --static e colocar o arquivo binário em uma imagem Docker.
• Inicializar o kernel com a opção de linha de comando do kernel "nosmep".
• Agora, use a imagem Docker e mãos à obra.

Sobre este CVE

A implementação de waitid nos kernels upstream não restringia o destino alvo para copiar os resultados das informações. Isso pode permitir que usuários locais escrevam em memória do kernel que de outra forma estaria protegida, o que pode levar à escalada de privilégios.
O bug foi introduzido em 2017-05-21 e corrigido em 2017-10-09.

Este CVE já foi corrigido em versões posteriores do ramo 4.13 e em kernels mainline mais recentes. No entanto, podem existir CVEs semelhantes que permitem escalada de privilégios. O CVE em si é bastante semelhante ao famoso dirty cow, CVE-2016-5195 , na verdade.

Mais Informações

CVE-2017-5123.c usa esta vulnerabilidade para alterar o valor de /proc/sys/vm/mmap_min_addr. Em seguida, faz o kernel Linux chamar um shellcode para obter permissão de acesso a arquivos do root do host.