Lokale Exploits

Verschiedene lokale Exploits

CVE-2020-8793

opensmptd-makemap-lpe - Fedora 31 OpenSMTPD makemap lokaler Root-Exploit.

Code größtenteils übernommen aus Qualys-Advisory (2020-02-24) für CVE-2020-8793.

opensmtpd: Das Lesen beliebiger Dateien durch einen unprivilegierten Angreifer kann zur Offenlegung von Informationen oder zur Privilegieneskalation führen [fedora-all]

CVE-2020-7247

root66 OpenBSD 6.6 OpenSMTPD 6.6 lokaler Root-Exploit.

Code größtenteils übernommen aus Qualys-PoCs (2020-01-28) für CVE-2020-7247.

OpenSMTPD 6.6, wie es in OpenBSD 6.6 und anderen Produkten verwendet wird, erlaubt entfernten Angreifern, über eine manipulierte MAIL FROM-Adresse beliebige Befehle als Root auszuführen.

CVE-2019-19726

openbsd-dynamic-loader-chpass OpenBSD lokaler Root-Exploit.

Code größtenteils übernommen aus Qualys-PoCs (2019-12-11) für CVE-2019-19726.

OpenBSD bis einschließlich 6.6 erlaubt lokalen Benutzern die Eskalation zu Root, da eine Prüfung von LD_LIBRARY_PATH in setuid-Programmen durch Setzen eines sehr kleinen RLIMIT_DATA-Ressourcenlimits umgangen werden kann. Beim Ausführen von chpass oder passwd (die setuid root sind) versucht _dl_setup_env in ld.so, LD_LIBRARY_PATH aus der Umgebung zu entfernen, scheitert jedoch, wenn es keinen Speicher zuweisen kann. Somit kann der Angreifer seinen eigenen Bibliothekscode als Root ausführen.

CVE-2019-19520

openbsd-authroot OpenBSD lokaler Root-Exploit.

Code größtenteils übernommen aus Qualys-PoCs (2019-12-04) für CVE-2019-19520 / CVE-2019-19522.

xlock in OpenBSD 6.6 erlaubt lokalen Benutzern, die Privilegien der auth-Gruppe zu erlangen, indem eine LIBGL_DRIVERS_PATH-Umgebungsvariable bereitgestellt wird, da xenocara/lib/mesa/src/loader/loader.c dlopen falsch behandelt. OpenBSD 6.6 erlaubt in einer Nicht-Standardkonfiguration, in der S/Key- oder YubiKey-Authentifizierung aktiviert ist, lokalen Benutzern, durch ihre Mitgliedschaft in der auth-Gruppe Root zu werden. Dies geschieht, weil die Datei von root nach /etc/skey oder /var/db/yubikey geschrieben werden kann und nicht root gehören muss.

CVE-2019-18862

GNU Mailutils 2.0 <= 3.7 maidag url lokales Root.

Basiert auf Mike Gualtieris Forschung und PoC (2019-11-11) für CVE-2019-18862.

maidag in GNU Mailutils vor 3.8 ist setuid installiert und ermöglicht lokale Privilegieneskalation im url-Modus.

CVE-2019-12181

Lokaler Root-Exploit für Serv-U-FTP-Server-Versionen vor 15.1.7

Bash-Variante von Guy Levins Serv-U-FTP-Server-Exploit (2019-06-13) für CVE-2019-12181.

In SolarWinds Serv-U vor 15.1.7 für Linux existiert eine Schwachstelle zur Privilegieneskalation.

CVE-2017-5899

S-nail lokaler Root-Exploit.

Wrapper für @wapiflapi's s-nail-privget.c lokalen Root-Exploit (2017-01-27) für CVE-2017-5899.

Eine Directory-Traversal-Schwachstelle in der setuid-Root-Helper-Binärdatei in S-nail (später S-mailx) vor 14.8.16 erlaubt lokalen Benutzern, in beliebige Dateien zu schreiben und dadurch über ein .. (Punkt Punkt) im randstr-Argument Root-Privilegien zu erlangen.

CVE-2017-4915

VMWare Workstation / Player lokaler Root-Exploit.

Basiert auf Jann Horns PoC (2017-05-21) für CVE-2017-4915.

VMware Workstation Pro/Player enthält eine Schwachstelle durch unsicheres Laden von Bibliotheken über ALSA-Soundtreiber-Konfigurationsdateien. Eine erfolgreiche Ausnutzung dieses Problems kann unprivilegierten Host-Benutzern ermöglichen, ihre Privilegien auf einem Linux-Host-Rechner auf Root zu eskalieren.

CVE-2011-2921

ktsuss <= 1.4 setuid lokaler Root-Exploit.

Wrapper für John Lightseys PoC (2011-08-13) für CVE-2011-2921.

CVE-2011-2921 beim Auditieren von SparkyLinux unabhängig wiederentdeckt.

Die ausführbare Datei ktsuss ist setuid root und gibt Privilegien vor der Ausführung vom Benutzer angegebener Befehle nicht auf, was zur Ausführung von Befehlen mit root-Privilegien führt.

SparkyLinux 2019.08 und frühere Versionen enthalten standardmäßig eine verwundbare Version von ktsuss.

CVE-2002-0526

InterNetNews (inn) rnews Datei-Offenlegungs-Exploit.

Basiert auf Paul „IhaQueR“ Starzetz' Advisory (2002-04-11) für CVE-2002-0526.

CVE-2002-0526 im Jahr 2020 auf Debian 10 / Ubuntu 20.04 unabhängig wiederentdeckt (!)

INN (InterNetNews) könnte es einem lokalen Angreifer ermöglichen, sensible Informationen zu erlangen. Die rnews-Binärdateien geben Privilegien nicht auf. Ein lokaler Angreifer könnte diese Schwachstelle ausnutzen, um unbefugten Zugriff auf sensible Konfigurationsdateien zu erlangen.

antix-mxlinux-sudo-persist-config-lpe

antiX / MX Linux Standard-Sudo-Konfiguration persist-config lokaler Root-Exploit.

Die Standard-sudo-Konfiguration von antiX / MX Linux erlaubt Benutzern in der users-Gruppe, /usr/local/bin/persist-config ohne Passworteingabe als Root auszuführen, was eine triviale Privilegieneskalation zur Folge hat.

Die Ausführung über sudo erfordert Privilegien der users-Gruppe. Standardmäßig ist der erste auf dem System angelegte Benutzer Mitglied der users-Gruppe.

asan-suid-root

Lokaler Root-Exploit für mit AddressSanitizer (ASan) kompilierte SUID-Executables.

Basiert auf dem Exploit von 0x27 (2016-02-18) für Szabolcs Nagys Address Sanitizer local root PoC (2016-02-17).

Die Verwendung von Umgebungsvariablen im Zusammenhang mit der ASan-Konfiguration ist bei der Ausführung von mit ASan erstellten setuid-Executables nicht eingeschränkt. Die Option log_path kann über die Umgebungsvariable ASAN_OPTIONS gesetzt werden, wodurch beliebige Dateien mit den Privilegien des setuid-Benutzers überschrieben werden können.

emmabuntus-sudo-autologin-lightdm-exec-lpe

Emmabuntüs Standard-Sudo-Konfiguration autologin_lightdm_exec.sh lokaler Root-Exploit.

Die Standard-sudo-Konfiguration von Emmabuntüs erlaubt jedem Benutzer, /usr/bin/autologin_lightdm_exec.sh ohne Passworteingabe als Root auszuführen.

Das Skript autologin_lightdm_exec.sh ruft cp mit vom Benutzer bereitgestellten Argumenten auf, was eine triviale Privilegieneskalation zur Folge hat.

lastore-daemon-root

lastore-daemon lokaler Root-Exploit.

Basiert auf dem Exploit von King's Way (2016-02-10).

Die D-Bus-Konfiguration von lastore-daemon auf Deepin Linux 15.5 erlaubt jedem Benutzer in der sudo-Gruppe, ohne Passworteingabe beliebige Pakete zu installieren, was eine Codeausführung als Root zur Folge hat. Standardmäßig ist der erste auf dem System angelegte Benutzer Mitglied der sudo-Gruppe.

sudo-blkid-root

sudo-blkid-root lokaler Root-Exploit.

Die Standard-sudo-Konfiguration einiger Linux-Distributionen erlaubt Benutzern mit niedrigen Privilegien, blkid als Root auszuführen. Diese Konfiguration ist unsicher, da blkid es Benutzern erlaubt, die Option -c anzugeben, um Cache-Daten in eine Datei zu schreiben, wodurch beliebige Dateien überschrieben werden können.

sudo-chkrootkit-root

sudo-chkrootkit-root lokaler Root-Exploit.

Manchmal erlauben Administratoren Benutzern, chkrootkit über sudo auszuführen, da chkrootkit Root-Privilegien erfordert.

Dies ist unsicher, da chkrootkit eine Option -p bietet, um einen Pfad zu vertrauenswürdigen Systemprogrammen anzugeben (Systemprogramme könnten kompromittiert sein), was die Ausführung beliebiger Executables mit Root-Privilegien ermöglicht.