nosferatuvjr/pwnkitProof of Concept für die Polkit-Pkexec-Schwachstelle: CVE-2021-4034(Pkexec Local Privilege Escalation)
Dieses Repository enthält einen Exploit, den ich entwickelt habe, um zu verstehen, wie die Polkit-Pkexec-Schwachstelle funktioniert: CVE-2021-4034(Pkexec Local Privilege Escalation). Polkit (früher bekannt als PolicyKit) ist eine Komponente, deren Funktion es ist, die Privilegien auf Unix-Betriebssystemen zu kontrollieren. Es bietet auf organisierte Weise eine Möglichkeit, dass nicht privilegierte Prozesse mit privilegierten Prozessen kommunizieren. Die Schwachstelle ermöglicht es jedem Benutzer, einem normalen Systembenutzer ohne Administratorrechte, die höchsten Privilegien auf dem System zu erlangen.
Die Schwachstelle tritt auf, wenn die Funktion main() des pkexec Befehlszeilenargumente verarbeitet und das Argument 0 ist. Die Funktion versucht, auf die Argumentliste zuzugreifen, und versucht dabei, auf rgvvoid (einen Controller für Befehlszeilenargumente) zuzugreifen. Das heißt, es tritt auf, wenn pkexec die Aufrufparameter nicht korrekt behandelt und versucht, Umgebungsvariablen als Befehle auszuführen. Das Ergebnis ist, dass Speicher außerhalb der Grenzen gelesen und geschrieben wird, was ein Angreifer ausnutzen kann, um eine Umgebungsvariable zu injizieren, die das Laden eines bösartigen Codes bewirken kann.
Es ist leicht zu verstehen: Die Tatsache, dass diese Umgebungsvariablen eingeführt werden können, macht den Code verwundbar. Die Methode, die ich zur Ausnutzung der Schwachstelle verwendet habe, ist dieselbe, die auch von Qualys verwendet wurde. Der Prozess ist einfach: Man muss lediglich eine GCONV_PATH-Variable in die Arbeitsumgebung von pkexec injizieren, also in ein beliebiges Verzeichnis, das für normale Systembenutzer verfügbar ist. Diese Variable führt eine gemeinsam genutzte Bibliothek als root aus. Wir müssen klarstellen, dass diese Technik laut ist und viele Spuren hinterlässt, da die Injektion der Variablen ein Verzeichnis erstellt und dieses die Privilegien mit dem Root-Benutzer teilt.
Wenn du feststellst, dass dein System verwundbar ist, aktualisiere es so schnell wie möglich. Falls du dennoch glaubst, dass du verwundbar bist, kannst du das SUID-Bit von pkexec als vorübergehende Abschwächung entfernen, und zwar so: # chmod 0755 /usr/bin/pkexec
Weitere Details zur Funktionsweise der Schwachstelle hier.
Der Exploit funktioniert sofort auf verwundbaren Distributionen, die auf Debian, Ubuntu, Fedora und CentOS basieren. Er wurde zu Studienzwecken über die Schwachstelle erstellt und um zu sehen, wie weit ich derzeit allein mit der Sprache C komme :D. Verwende ihn nicht für Dinge, die du nicht tun solltest.
$ git clone https://github.com/Nosferatuvjr/PwnKit
$ cd PwnKit
$ chmod +x ./PwnKit.sh
$ ./PwnKit.sh
# id
Oder
$ git clone https://github.com/Nosferatuvjr/PwnKit
$ cd PwnKit
$ chmod +x ./PwnKit
$ ./PwnKit
$ ./PwnKit id #shell interativa
gcc -shared PwnKit.c -o PwnKit -Wl,-e,entry -fPIC
