OverlayFS - CVE-2021-3493 - Tryhackme

 

Task 1  What is OverlayFS?

OverlayFS là một mô-đun nhân Linux cho phép hệ thống kết hợp nhiều điểm gắn kết thành một, để bạn có thể truy cập tất cả các tệp từ mỗi tệp trong một cấu trúc thư mục. 

Nó thường được sử dụng bởi các USB trực tiếp hoặc một số ứng dụng chuyên dụng khác. Một mục đích sử dụng là có hệ thống tệp gốc chỉ đọc và một phân vùng khác được "phủ" lên để cho phép các ứng dụng ghi vào hệ thống tệp tạm thời. 

Nhiều tài nguyên hơn được bao gồm trong tác vụ cuối cùng (Đọc thêm) nếu bạn muốn tìm hiểu thêm về OverlayFS và cách khai thác này.

Task 2  CVE-2021-3493 - OverlayFS Exploit

Thông tin về lỗ hổng

Gần đây, SSD-Disclosure đã phát hành một bằng chứng về khái niệm (và một lời giải thích tuyệt vời) cho việc khai thác nhân hệ điều hành Ubuntu (https://ssd-disclosure.com/ssd-advisory-overlayfs-pe/).

Lỗ hổng này đặc biệt nghiêm trọng, vì overlayfs là một mô-đun hạt nhân được cài đặt theo mặc định trên Máy chủ Ubuntu 18.04( hoặc trên một số phiên bản Ubuntu 20.10,Ubuntu 20.04 LTS,Ubuntu 16.04 LTS,Ubuntu 14.04 ESM.

Nếu hệ thống dễ bị tấn công, bạn có thể rất dễ dàng chuyển từ bất kỳ người dùng nào lên root, miễn là bạn có thể chạy một tệp nhị phân.

Nếu không có trình biên dịch C được cài đặt trên máy, bạn có thể biên dịch nhị phân tĩnh ở nơi khác và chỉ sao chép nhị phân qua.

Đăng nhập SSH

Username: overlay

Password: tryhackme123

Nếu bạn đang sử dụng máy dựa trên web, hãy mở máy ở chế độ toàn màn hình (bằng cách nhấp vào biểu tượng) để sao chép / dán mã khai thác.

Task 3  Further reading

Bạn muốn biết thêm về OverlayFS?

https://yagrebu.net/unix/rpi-overlay.md - Read only root file system with overlayfs to allow applications to run normally.

https://wiki.archlinux.org/index.php/Overlay_filesystem - The Arch Wiki's page on OverlayFS (I don't use Arch BTW)

Bạn muốn biết thêm về CVE cụ thể này?

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3493 - Mitre's CVE entry for this vulnerability, which includes many further links.

https://ssd-disclosure.com/ssd-advisory-overlayfs-pe/ - This is where we got the PoC code, and it explains the vulnerability very well.