SpecterDev explique l'exploit Kernel NamedObj

Après l'explication de fail0verflow il y'a quelques jours sur l'exploit "nameobj exploit", alors que moi et quelques autres avions déjà cet exploit depuis quelque mois, nous ne voulions pas faire de release car nous avions reçu de l'aide de fail0verflow.

Le bug se base sur une confusion dans le champ "kind" de "id_entry" grâce aux informations contenues dans l'un des champs (propriété) d'un objet nommé. Un objet nommé est un objet avec des propriétés attachés (comme par exemple leur nom), ces propriétés pointent vers l'objet réel dans la pile. En spécifiant un type 0x5000 pour votre objet, vous pouvez créer un bug (type confusion).

Il faut maintenant trouver une autre zone du kernel qui pourra manipuler notre objet. Par chance, il existe un service (sys_mdbg_service()) qui va nous permettre d’écraser les 32bits de poids faible d'un pointeur que nous pourrons libérer (free()) plus tard avec sys_namedobj_delete(). Grace  cela nous nous retrouvons dans une situation qui nous permet d'obtenir l'execution de code en envoyant des faux objets dans la pile libérée pour corrompre un pointeur.

Une bonne stratégie pour exploiter ce bug consiste à :

• Trouver un objet cible.
• Créer le bug via sys_namedobj_create() avec un type de 0x5000
• Mettre en place une ropchain en userland (cette rop doit permettre de stopper la protection en écriture du kernel pour patcher la zone en RWX (écriture, lecture, exécution) et retourner en userland.
• Écraser les 32bits inférieurs de votre objet via sys_mdbg_service() avec les 32bits inférieurs de votre objet cible. Le pointeur stocké était un pointeur sur la pile (heap), les 32bits supérieurs sont donc réglés par FreeBSD à l'adresse  0xFFFFYYYYxxxxxxxx (YYYY est aléatoire géré par ASLR au boot).
• Utilisons l'appel systeme free() via sys_namedobj_delete()
• Envoyer votre faux objet dans la pile avec un pointeur sur une fonction pointant sur la chaine ROP.
• Trouver une fonction qui utilise l'objet corrompu et utilisez-la pour lire votre pointeur.
• Voila vous avez maintenant l’exécution de votre ROP chain dans ring0 (kernel).
• Réparer l'objet corrompu sinon lorsque le webkit s’arrêtera, le kernel voudra libérer l'objet corrompu menant à un double free() donc crash.