Linux Kernel ``binfmt_elf'' Core Dump Buffer Overflow Vulnerability

test@csko:~$ uname -a

Linux csko.hu 2.4.29-grsec #2 SMP Wed Mar 23 23:25:14 CET 2005 i686 unknown

test@csko:~$ ./elfcd.sh

[+] Compiling...

[+] ./elfcd1 argv_start=0x5f9306cc argv_end=0x5f9306d4 ESP: 0x5f930574

[+] phase 1

[+] AAAA argv_start=0x5b60b79a argv_end=0x5b60b79e ESP: 0x5b60b654

[+] phase 2, to crash ./elfcd.sh: line 183: 1530 Killed ./elfcd1

test@csko:~$

SEGMEXEC alatt 1.5GB a userland address space, ez nem eleg az integer overflowhoz (ki hitte volna, hogy ez egyszer security feature lesz ;-). chpax/paxctl -s (vagy ACL modositas) utan elvileg mennie kell.

(ki hitte volna, hogy ez egyszer security feature lesz ;-)

Szerintem elég sok olyan bug van ami emiatt nem exploitálható. A 32 bit qmail bug is emiatt kihasználhatatlan SEGMEXEC mellett, meg az összes ilyen jellegű integer overflow.

Nekem uhu 1.2 alatt egy sima ártatlan segfaultot dob a progi, semmi izgalmas nem történik.

idezem TFA-t: "A hotfix for this vulnerability is to disallow processes to drop core. This can be accomplished by setting the hard core size limit to 0"

Ja, soft és hard core méretet fellőttem a végtelenbe nyilván, dob is egy kis core fájlt, de nem száll el semmi más.

hm, jah:

soniq@kign:~/isec-0023$ uname -rom; cat /etc/debian_version

2.6.11.7 i686 GNU/Linux

3.1

soniq@kign:~/isec-0023$ ./elfcd1

[+] ./elfcd1 argv_start=0xbffffaca argv_end=0xbffffad2 ESP: 0xbffff8e0

[+] phase 1

[+] AAAA argv_start=0xbfff6fee argv_end=0xbfff6ff2 ESP: 0xbfff6e60

[+] phase 2, to crash Segmentation fault (core dumped)

2.4 alatt megy

GRSEC -el meg tudja nezni valaki?

grsec/pax alatt allitolag nem megy ez az exploit, de ettol meg lehet, hogy modosithato ugy, hogy mukodjon...

Mielott meg valaki root jogosultsagra varna... ez egy PoC exploit es 'csak' elcrashel a rendszer vele.

warning: This code will crash your machine

aham, guest 2.4 mellett a qemu megmakkant