PoC: Linux Container Escape durch CVE-2023-52447 möglich
Der CVE-2023-52447 ist eine Sicherheitslücke im Linux-Kernel, die eine Use-After-Free-Schwachstelle im BPF (Berkeley Packet Filter)-Subsystem betrifft. Genauer gesagt handelt es sich um eine fehlerhafte Verwaltung von Arraymap-Zeigern in bestimmten BPF-Programmen. Diese Schwachstelle betrifft Kernel-Versionen von 5.8 bis 6.6 und hat eine CVSS-Bewertung von 7.8, was sie als hochriskant einstuft.
Die Exploit-Strategie basiert auf einer Race Condition zwischen zwei Threads, bei der ein Thread eine Änderung in einer BPF-Arraymap durchführt, während ein anderer Thread den Speicher freigibt. Dadurch entsteht die Use-After-Free-Bedingung, die ausgenutzt werden kann, um sensible Kernel-Daten zu manipulieren. Ein Kernbestandteil des Angriffs ist die Manipulation der array_of_maps-Struktur, die letztendlich für einen Container Escape genutzt werden kann.
Die Proof-of-Concept (PoC)-Exploit-Dokumentation beschreibt die technischen Details dieses Angriffs und bietet eine Schritt-für-Schritt-Anleitung zur Reproduktion des Exploits, was sowohl von Sicherheitsexperten zur Abwehr als auch von Angreifern missbraucht werden kann. Die Schwachstelle wird in einem Patch behoben, und es wird dringend empfohlen, auf eine gepatchte Kernel-Version zu aktualisieren.
Weitere Details und der vollständige Exploit-Code können in der PoC auf GitHub eingesehen werden.