CVE-2021-3560 — تصعيد الامتيازات في Polkit

CVE-2021-3560 هي ثغرة تصعيد امتيازات محلية في Polkit (سابقًا PolicyKit)، وهو إطار التفويض المستخدم في بيئات سطح المكتب لينكس. يمكن لمهاجم محلي غير مميز استغلال حالة سباق (race condition) في واجهة D-Bus الخاصة بـ accounts-daemon لإنشاء مستخدم مميز، تعيين كلمة مرور له، والحصول في النهاية على صلاحيات الجذر (root).

كيف يعمل

الخلفية: Polkit + accounts-daemon

accounts-daemon (org.freedesktop.Accounts) هي خدمة D-Bus نظامية تدير حسابات المستخدمين (الإنشاء، الحذف، تغيير كلمة المرور، إلخ). تعرض طرق مثل:

تتطلب هذه العمليات تفويضًا. عندما تصل استدعاء D-Bus، يكون Polkit وسطًا بين المتصل و accounts-daemon:

Caller  →  D-Bus  →  Polkit (authorization check)  →  accounts-daemon (action)

يقرر Polkit ما إذا كان المتصل لديه الإذن، وإذا كان الأمر كذلك، يعيد توجيه الطلب إلى accounts-daemon للتنفيذ.

حالة السباق

الثغرة هي TOCTOU (وقت التحقق، وقت الاستخدام) سباق. إليك الفكرة الأساسية:

1. يتم إرسال استدعاء طريقة D-Bus إلى accounts-daemon (مثل CreateUser).
2. يستلمه Polkit ويقوم بإجراء التحقق من التفويض — غالبًا بالاعتماد على حوار وكيل polkit الذي ينتهي مهلة، ويعيد استجابة "غير مفوض". ومع ذلك، بسبب خطأ، يعالج معالجة المهلة/الخطأ في polkit بعض حالات الخطأ بشكل غير صحيح على أنها نجاح أو يترك المعالجة من جانب الخدمة في حالة تفويض جزئي.
3. إذا تم قتل استدعاء D-Bus في اللحظة المناسبة تمامًا — بعد اتخاذ قرار التفويض من Polkit ولكن قبل انتهاء accounts-daemon من المعالجة — يتم إنشاء المستخدم دون توثيق مناسب، ومع ذلك ينتهي سجل المستخدم غير مكتمل (مثل، بدون كلمة مرور، بدون دليل المنزل).
4. يمكن للمهاجم بعد ذلك استخدام نفس السباق لاستدعاء SetPassword على المستخدم المنشأ حديثًا (ولكن غير الموثوق)، أو الحالة غير المكتملة نفسها تمنح امتيازات مرتفعة.

باختصار: اقتل الطلب في الوقت المناسب، وسوف تتجاوز التوثيق.

ما يفعله الاستغلال

يقوم هذا السكريبت exploit.sh بأتمتة سلسلة الهجوم الكاملة:

الاستخدام

# Clone the repository
git clone https://github.com/Jeanback1/CVE-2021-3560.git
cd CVE-2021-3560

# Make the exploit executable
chmod +x exploit.sh

# Run it
./exploit.sh

بمجرد اكتمال الاستغلال، سيكون لديك شل جذر:

whoami
# root

مثال على الإخراج

الإصدارات المتأثرة

تم تصحيح الثغرة في polkit 0.120 والإصدارات الأحدث.

التوزيعات التي تم تصحيحها (غير شاملة):

• أوبونتو 20.04+ (مع تحديثات أمنية بعد يونيو 2021)
• دبيان 11+ (مع تحديثات أمنية)
• RHEL 8+ / CentOS 8+ (مع تصحيح)
• فيدورا 34+

إخلاء مسؤولية

هذا المستودع مخصص لأغراض تعليمية وبحوث أمنية مرخصة فقط. لا تستخدم هذا الاستغلال على أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.