Team CVE-MD

本仓库提供了CVE-2023-0386的概念验证： https://nvd.nist.gov/vuln/detail/CVE-2023-0386

团队成员：Bǎnicǎ Dragoș-Marius 和 Borsos Matheas-Roland

视频链接： https://www.youtube.com/watch?v=Ikux1rjIYP0

CVE-2023-0386 — Linux OverlayFS 本地权限提升（PoC）

概述

本仓库包含针对 CVE-2023-0386 的 概念验证（PoC）利用代码，该漏洞是 Linux 内核 OverlayFS 子系统中的一个本地权限提升漏洞。

该漏洞允许 本地非特权用户 通过利用 OverlayFS 在 复制提升 操作中错误处理文件能力和所有权的问题，将权限提升至 root。PoC 演示了如何通过精心构造的 OverlayFS 设置，生成一个即使从 nosuid 挂载点复制后仍保留提升权限的可执行文件。

漏洞背景

什么是 OverlayFS？

OverlayFS 是一种 联合文件系统，用于将多个目录树合并为单一统一视图。它广泛应用于：

• 容器（Docker、Kubernetes）
• 沙箱系统
• 不可变操作系统布局

OverlayFS 由以下部分组成：

• 下层（只读）
• 上层（可写）
• 合并视图

当修改下层中的文件时，OverlayFS 执行 复制提升 操作：将文件复制到上层，然后在该处进行修改。

CVE-2023-0386 的根本原因

该漏洞在于 OverlayFS 在复制提升期间如何处理文件元数据，具体涉及：

• 文件 能力（例如 CAP_SETUID）
• 所有权和权限位
• 与 nosuid 挂载选项的交互
• 用户命名空间 UID/GID 映射

在受影响的内核版本中：

• OverlayFS 在从 nosuid 下层复制文件时 未能正确剥离能力。
• 在某些条件下，复制的文件保留了提升的属性。
• 执行该文件即可提升至 root 权限。

这打破了 nosuid 挂载可防止权限提升的安全假设。

仓库结构

CVE-2023-0386_POC/
├── exp.c # 主要利用逻辑
├── fuse.c # 用户空间文件系统辅助程序（FUSE）
├── getshell.c # 权限提升载荷
├── ovlcap/ # OverlayFS 能力测试工具
│ ├── Makefile
│ └── ...
├── Makefile # 顶层构建说明
└── README.md

高层利用流程

1. 受控文件系统设置

   • 挂载一个 FUSE 文件系统，模拟 nosuid 下层。
   • 配置 OverlayFS，包含一个可写上层。

2. 携带能力的二进制文件

   • 在下层放置一个具有文件能力的二进制文件。

3. 触发复制提升

   • OverlayFS 将文件复制到上层。
   • 由于漏洞存在，能力剥离不完整。

4. 权限提升

   • 执行复制后的二进制文件。
   • 内核错误地授予提升的权限。
   • 生成一个 root shell。

概念验证

系统要求

• 运行 Ubuntu 22.04 的虚拟机
• 存在漏洞的内核（5.15.0-25-generic）
• 启用 FUSE 支持
• 开发工具：
  • gcc
  • make
  • libfuse-dev（或等效包）
  • libcap-dev（或等效包）

构建

git clone https://github.com/dragosbanica/CVE-2023-0386_POC.git
cd CVE-2023-0386_POC
make all

使用方法

启动两个终端，在第一个终端中输入

./fuse ./ovlcap/lower ./gc

在第二个终端中输入

./exp