CVE-2024-3094 Среда контейнера с бэкдором SSH

Это среда, запускающая экземпляр бэкдора sshd CVE-2024-3094, работающая с этим эксплойтом: https://github.com/amlweems/xzbot.

Эксперименты

Тест в Docker

ЭТО НЕ контейнер Docker. Я пытался создать эту среду уязвимости с помощью docker, но безуспешно:

1. https://github.com/lockness-Ko/xz-vulnerable-honeypot: xzbot не работает внутри него.
2. вручную собрать файловую систему образа docker с нуля с теми же зависимостями, которые были успешно эксплуатированы с помощью xzbot на хосте Ubuntu VM: эксплойт xzbot всё равно не сработал.

Я подозреваю, что это было связано с systemd, потому что все способы, которые я пробовал внутри docker для запуска SSHD, выполнялись из командной строки, а не из systemd.

Тест на хосте

В продолжение я провел эксперимент: на машине VM, где sshd(systemd) был успешно эксплуатирован с помощью xzbot, я напрямую запустил /sbin/sshd -D -e -p 2024 с замененным liblzma.so, и эксплуатация xzbot не удалась, что указывает на то, что это может быть сильно связано с systemd.

Тест на хосте с systemd

Я отказался от docker, потому что запускать sshd из systemd внутри docker немного сложно.

В итоге я извлек минимизированную файловую систему из моей VM и сделал из нее мини-контейнер на основе chroot, который легко запускается в пространстве имен хоста с systemd.

Это работает как в моей среде VM, так и в другой среде, что позволяет успешно эксплуатировать xzbot.

Я не разобрался с принципом, но в любом случае я организовал среду в этом проекте для исследований.

Использование

Сборка среды

./compose.sh в корневом каталоге этого проекта.

Удаление среды

./remove.sh в корневом каталоге этого проекта.

Эксплуатация

./xzbot -addr 127.0.0.1:2024 -cmd 'whoami > /hello', и вы увидите файл с именем hello в каталоге env_fs, если эксплуатация прошла успешно.

Другое заявление

Как происходит эксплуатация

https://github.com/amlweems/xzbot предоставляет удобный инструмент, и он пропатчил liblzma.so своим собственным открытым ключом, сделав его доступным. Подробнее смотрите в проекте xzbot.

Наша мини-файловая система содержит стандартный пропатченный файл lzma so из xzbot. А также здесь статически скомпилирован исполняемый бинарник xzbot. Вы можете просто запустить ./xzbot -addr 127.0.0.1:2024 -cmd 'whoami > /hello' для тестирования.

Как это работает

Файл systemd xzback.service будет динамически развернут в /etc/systemd/system/ на вашем хосте.

И xzback.service запустится с chroot в нашу мини-файловую систему, не оказывая больше влияния на файловую систему хоста.