VirtualBox VMSVGA多个虚拟机逃逸漏洞分析简介

VirtualBox模拟VMware虚拟SVGA设备，其接口的详细信息和编程模型可从网络上公开获取。另外，在《VMware托管I/O架构上的GPU虚拟化》论文中，对VMware SVGA设备架构进行了很好的描述。此外，Kostya Kortchinsky发布的《CLOUDBURST – Vmware Guest到Host逃逸的故事》一文中，详细介绍了如何利用VMware SVGA设备中的漏洞进行VM逃逸。
Oracle在2015年一月的重要补丁更新中，修复了VMSVGA设备所存在的一系列问题（CVE-2014-6595、CVE-2014-6588、CVE-2014-6589、CVE-2014-6590、CVE-2015-0427）。在文章《通过硬件仿真攻击虚拟机管理程序》中，提供了有关VirtualBox中VMSVGA漏洞的一些细节。
值得注意的是，由于VMSVGA设备在默认情况下未启用，所以受影响的用户可能非常有限。但是，用户可以根据VBoxManage文档中的说明启用该功能。
VBoxManage modifyvm VMNAME --graphicscontroller vmsvga
Oracle在2017年7月和2017年10月的重要补丁更新中，修复了VMSVGA漏洞CVE-2017-10210、CVE-2017-10236、CVE-2017-10239、CVE-2017-10240、CVE-2017-10392、CVE-2017-10407和CVE-2017-10408，这些漏洞是由我发现并报告的。另外，来自360 Gear团队的李强也同时独立发现了CVE-2017-10210、CVE-2017-10236、CVE-2017-10239和CVE-2017-10240这四个漏洞。在这篇博客文章中，详细介绍了其中的一些问题，并演示如何利用这些漏洞实现虚拟机逃逸。
我们在macOS环境的VirtualBox 5.1.22版本中进行了分析。Linux版本的VirtualBox不支持VMSVGA 3D功能，这一功能仅在Windows和macOS中可用。
vmsvga3dSurfaceDefine（DevVGA-SVGA3d.cpp）中验证validating face[0].numMipLevel过程存在整数溢出漏洞（CVE-2017-10210）
int vmsvga3dSurfaceDefine(PVGASTATE pThis, uint32_t sid, uint32_t surfaceFlags, SVGA3dSurfaceFormat format,
SVGA3dSurfaceFace face[SVGA3D_MAX_SURFACE_FACES], uint32_t multisampleCount,
SVGA3dTextureFilter autogenFilter, uint32_t cMipLevels, SVGA3dSize *paMipLevelSizes)
{
. . .
/* cFaces must be 6 for a cubemap and 1 otherwise. */
AssertReturn(cFaces == (uint32_t)((surfaceFlags & SVGA3D_SURFACE_CUBEMAP) ? 6 : 1), VERR_INVALID_PARAMETER);
AssertReturn(cMipLevels == cFaces * face[0].numMipLevels, VERR_INVALID_PARAMETER);
. . .
}
在使用“surfaceflag” SVGA3D_SURFACE_CUBEMAP时，“cFaces”值可以设置为6。然后，可以将“face[0].numMipLevels”设置为cFaces * face[0].numMipLevels wraps的计算结果。“cMipLevels”取决于为SVGA_3D_CMD_SURFACE_DEFINE命令传递的SVGA3dSize结构的数量，例如2 == 6 * 0x2aaaaaab。
用于其它多个命令中的face[0].numMipLevels值是导致内存损坏的元凶。在CVE-2017-10210的PoC中，使用了SVGA_3D_CMD_SURFACE_DESTROY命令来演示内存损坏，最终导致free()无效。
int vmsvga3dSurfaceDestroy(PVGASTATE pThis, uint32_t sid)
{
. . .
if (pSurface->pMipmapLevels)
{
for (uint32_t face=0; face cFaces; face++)
{
for (uint32_t i=0; i faces[face].numMipLevels; i++)
{
uint32_t idx = i + face * pSurface->faces[0].numMipLevels;
if (pSurface->pMipmapLevels[idx].pSurfaceData)
RTMemFree(pSurface->pMipmapLevels[idx].pSurfaceData);
}
}
RTMemFree(pSurface->pMipmapLevels);
}
. . .
}
renorobert@ubuntu:~/virtualbox-vmsvga-bugs/CVE-2017-10210$ sudo ./poc
[sudo] password for renorobert:
poc: [+] Triggering the integer overflow using SVGA_3D_CMD_SURFACE_DEFINE...
poc: [+] Triggering the crash using SVGA_3D_CMD_SURFACE_DESTROY...
[lldbinit] process attach --pid 57984
[-] warning: get_frame() failed. Is the target binary started?
Process 57984 stopped
* thread #1, queue = 'com.apple.main-thread', stop reason = signal SIGSTOP
frame #0: 0x00007fff5f9ae20a libsystem_kernel.dylib`mach_msg_trap + 10
Target 0: (VirtualBoxVM) stopped.