Escalada de privilegios con /proc/pid/mem write

CVE-2012-0056 $ ls
build-and-run-exploit.sh  build-and-run-shellcode.sh  mempodipper.c  shellcode-32.s  shellcode-64.s
CVE-2012-0056 $ gcc mempodipper.c -o mempodipper
CVE-2012-0056 $ ./mempodipper
===============================
=          Mempodipper        =
=           by zx2c4          =
=         Jan 21, 2012        =
===============================

[+] Waiting for transferred fd in parent.
[+] Executing child from child fork.
[+] Opening parent mem /proc/6454/mem in child.
[+] Sending fd 3 to parent.
[+] Received fd at 5.
[+] Assigning fd 5 to stderr.
[+] Reading su for exit@plt.
[+] Resolved exit@plt to 0x402178.
[+] Seeking to offset 0x40216c.
[+] Executing su with shellcode.
sh-4.2# whoami
root
sh-4.2#

Un experto en informatica ha encontrado como conseguir privilegios de superusuario desde una cuenta de usuario comun, claro ya para esto hay un parche por fortuna.

La vulnerabilidad reside en el acceso en /proc/pid/mem, al parecer no está muy bien gestionado y que a través de cierto tipo de accesos podamos conseguir privilegios de superusuario.

La explicación completa está en http://blog.zx2c4.com/749 (en ingles) en donde este experto ha explicado cómo funciona el exploit para la vulnerabilidad con número CVE-2012-0056, además de ofrecer un programa que la explota llamada Mempodipper, disponible en el repositorio git de ese usuario.

Todos los kernels Linux 2.6.39 y superiores (incluyendo la serie 3.x) son vulnerables al exploit, aunque Linus ya publicó una corrección al problema hace unos días. Es interesante ver como se hace el ataque, si tienes sistemas que puedan estar afectados por el problema, es recomendable actualizar cuanto antes para evitar problemas mayores, ya que varias distros (Ubuntu y RHEL, entre otras) ya han preparado los paquetes necesarios para solucionar el tema.

Deja un comentario

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s