カーネルエクスプロイト

設定が厳格に管理されている場合、カーネル自体が弱点になっている可能性があります。権限のないプロセスから到達可能なカーネルコードのバグを悪用すると、ring 0でコードを実行し、root権限を取得できます。

すべては、正確なカーネルバージョンとディストリビューションの確認から始まります。特定のビルドは、特定の公開CVEやエクスプロイトに対応します。

使用中のカーネルとディストリビューションを対象に、エクスプロイトデータベースを検索します。searchsploit（Exploit-DBのオフライン版）やlinux-exploit-suggesterなどのツールを使うと、バージョンから動作する可能性の高いエクスプロイトを特定できます。

Dirty COW（CVE-2016-5195）は、メモリマッピングのcopy-on-write処理に存在するカーネルの競合状態です。権限のないユーザーが読み取り専用ファイル（/etc/passwd など）に書き込めるため、root権限を取得できます。2007年から2016年までのカーネルに影響します。

DirtyPipe（CVE-2022-0847）はLinux 5.8以降に影響します。パイプバッファの処理にある欠陥により、権限のないユーザーが読み取り専用ファイルのデータを上書きできます。passwdやSUIDを上書きする同様の手法でroot権限を取得できます。

PwnKit（CVE-2021-4034）は、カーネルではなく pkexec（Polkit）のユーザー空間に存在するバグです。しかし、10年以上にわたり、ほぼすべてのLinuxディストリビューションで確実にローカルrootを取得できる脆弱性でした。権限昇格では必ず確認してください。

ほとんどのカーネルエクスプロイトは、対象と一致する環境でコンパイルする必要があるCのソースコードです。ヘッダーやコンパイラーのバージョンが一致しないと失敗します。可能であれば、対象のラボ用クローン上でコンパイルしてください。

カーネルエクスプロイトは最後の手段です。失敗するとカーネルパニックを引き起こし、システム全体がクラッシュする可能性があります — データ損失、停止時間、そして足場の喪失につながります。本番環境で決して気軽に実行しないでください。

エクスプロイトの信頼性は、カーネルのサブバージョン、ハードウェア、緩和策（KASLR、SMEP、SMAP）によって異なります。エクスプロイトの注記を読み、影響を受ける正確な範囲を確認し、エンゲージメントの対象に触れる前にラボでテストしてください。

基本的な防御策は明確です。速やかにパッチを適用することです。カーネルを最新に保ち、緩和策を有効にし、SUIDバイナリを最小限にし、制限付きカーネル（grsecurity系の強化やseccomp）を使用してください。ほとんどのカーネルエクスプロイトは、システムにパッチを適用した時点で無効になります。

カーネルエクスプロイトはシステムをクラッシュさせる可能性があるため、実行前に明示的な書面による承認を得てください。本番環境以外の時間帯を優先し、クライアントが再起動できるよう準備しておきます。許可された範囲内でのみ実行してください。

カーネルエクスプロイトに関する知識を確認しましょう。

カーネルを利用した権限昇格について学びました。

• 正確なカーネルバージョンをsearchsploit／LESでCVEと照合します
• 代表例はDirty COW、DirtyPipe、PwnKitです
• 多くの場合、エクスプロイトは対象環境向けにコンパイルする必要があるCのプログラムです
• 最後の手段であり、失敗するとシステムがクラッシュします。防御にはパッチを適用します

これでLinux権限昇格コースは完了です。