Команда CVE-MD

Этот репозиторий содержит доказательство концепции для CVE-2023-0386: https://nvd.nist.gov/vuln/detail/CVE-2023-0386

Участники команды: Bǎnicǎ Dragoș-Marius и Borsos Matheas-Roland

Вот видео: https://www.youtube.com/watch?v=Ikux1rjIYP0

CVE-2023-0386 — Локальное повышение привилегий в Linux OverlayFS (PoC)

Обзор

Этот репозиторий содержит доказательство концепции (PoC) эксплойта для CVE-2023-0386 — уязвимости локального повышения привилегий в подсистеме OverlayFS ядра Linux.

Уязвимость позволяет локальному непривилегированному пользователю повышать привилегии до root, эксплуатируя некорректную обработку файловых capabilities и прав владения во время операций copy-up в OverlayFS. PoC демонстрирует, как специально созданная конфигурация OverlayFS может породить исполняемый файл, который сохраняет расширенные привилегии даже при копировании с nosuid-раздела.

Предыстория уязвимости

Что такое OverlayFS?

OverlayFS — это объединённая файловая система (union filesystem), используемая для объединения нескольких деревьев каталогов в единое унифицированное представление. Она широко используется в:

• Контейнерах (Docker, Kubernetes)
• Песочницах
• Иммутабельных ОС

OverlayFS состоит из:

• Нижнего слоя (только чтение)
• Верхнего слоя (записываемый)
• Объединённого представления

Когда файл в нижнем слое изменяется, OverlayFS выполняет операцию copy-up: файл копируется в верхний слой и затем изменяется там.

Корневая причина CVE-2023-0386

Уязвимость заключается в том, как OverlayFS обрабатывает метаданные файлов во время copy-up, а именно:

• Файловые capabilities (например, CAP_SETUID)
• Владение (ownership) и биты прав доступа
• Взаимодействие с опциями монтирования nosuid
• Сопоставления UID/GID в пользовательских пространствах имён

В затронутых версиях ядра:

• OverlayFS не корректно удаляет capabilities при копировании файлов из нижнего слоя с nosuid.
• При определённых условиях скопированный файл сохраняет расширенные атрибуты.
• Выполнение этого файла позволяет повысить привилегии до root.

Это нарушает предположение безопасности о том, что nosuid-монтирование предотвращает повышение привилегий.

Структура репозитория

CVE-2023-0386_POC/
├── exp.c # Main exploit logic
├── fuse.c # User-space filesystem helper (FUSE)
├── getshell.c # Privilege escalation payload
├── ovlcap/ # OverlayFS capability test utilities
│ ├── Makefile
│ └── ...
├── Makefile # Top-level build instructions
└── README.md

Высокоуровневая схема эксплуатации

1. Контролируемая настройка файловой системы

• Файловая система FUSE монтируется для имитации нижнего слоя с nosuid.
• Настраивается OverlayFS с записываемым верхним слоем.

2. Бинарный файл с capabilities

• Бинарный файл с файловыми capabilities размещается в нижнем слое.

3. Триггер copy-up

• OverlayFS копирует файл в верхний слой.
• Из-за уязвимости удаление capabilities выполняется не полностью.

4. Повышение привилегий

• Скопированный бинарный файл выполняется.
• Ядро ошибочно предоставляет расширенные привилегии.
• Запускается root-оболочка.

Доказательство концепции

Системные требования

• ВМ с ОС Ubuntu 22.04
• Уязвимое ядро (5.15.0-25-generic)
• Поддержка FUSE включена
• Инструменты разработки:
  • gcc
  • make
  • libfuse-dev (или эквивалент)
  • libcap-dev (или эквивалент)

Сборка

git clone https://github.com/dragosbanica/CVE-2023-0386_POC.git
cd CVE-2023-0386_POC
make all

Использование

Откройте два терминала и в первом введите

./fuse ./ovlcap/lower ./gc

Во втором терминале введите

./exp