CVE-2021-3560-Polkit-Privilege-Esclation PoC

Ursprüngliche Forschung von Kevin Backhouse

Dies ist nur ein Bash-PoC-Skript, das die in Kevin Backhouses Blog erwähnten Exploit-Schritte automatisiert. Lesen Sie seinen Beitrag zu dieser Schwachstelle: https://github.blog/2021-06-10-privilege-escalation-polkit-root-on-linux-with-bug/

Usage

USAGE:
     ./poc.sh
     -h --help
     -u=Enter custom username to insert (OPTIONAL)
     -p=Enter custom password to insert (OPTIONAL)
     -f=y, To skip vulnerability check and force exploitation. (OPTIONAL)
     -t=Enter custom sleep time, instead of automatic detection (OPTIONAL)
     Format to enter time: '-t=.004' or '-t=0.004' if you want to set sleep time as 0.004ms 
Note:
Equal to symbol (=) after specifying an option is mandatory.
If you donot specify the options, then the script will automatically detect the possible time and
will try to insert a new user using that time.
Default credentials are 'secnigma:secnigmaftw'
If the exploit ran successfully, then you can login using 'su - secnigma'
and you can spawn a bash shell as root using 'sudo bash'

Hinweise:

• Dieser Exploit funktioniert nur auf Distributionen, die accountsservice und gnome-control-center installiert haben und die polkit Version 0.113 (oder später) ODER 0-105-26 (Debian-Fork von polkit) besitzen müssen.
• Dieser Exploit wurde auf Ubuntu 20.04 mit polkit Version 0-105-26 (Debian-Fork von polkit) und auf Centos 8 mit polkit Version 0.115 getestet. Wenn Sie sicher sind, dass Ihr Ziel verwundbar ist, aber die Prüffunktion des Exploits fehlschlägt, verwenden Sie das Flag -f=y, um alle Prüfungen zu umgehen und den Exploit zu erzwingen.
• Distributionen wie RHEL 8, Fedora 21, Debian testing („bullseye“) und Ubuntu 20.04 wurden als verwundbar befunden.

Wie der Exploit funktioniert?

Eine umfassende Erklärung und ein PoC zur manuellen Ausnutzung dieser Schwachstelle sind im Blog des Forschers ausführlich beschrieben.

TL;DR dieses Exploits ist unten aufgeführt:

• Dieser Angriff erfordert präzises Timing und wir müssen uns per SSH (oder einer Kommandozeilensitzung) anmelden, wo das Öffnen grafischer Anwendungen keine Option ist.
• Ein Angreifer kann diese Schwachstelle ausnutzen, indem er polkit durch das Senden einer dbus-Nachricht auslöst, die Anfrage jedoch abrupt beendet, während polkit die Anfrage verarbeitet. Dann kann der Angreifer eine zweite Anfrage mit der eindeutigen Bus-Kennung der vorherigen Anfrage senden, um die Anfrage als UID 0 alias root auszuführen.
• Diese Schwachstelle existiert in polkit, weil es die UID einer Verbindung mit einer Bus-Kennung, die nicht mehr existiert, als eine Anfrage von UID 0 behandelt. Das bedeutet, dass wir, wenn wir den Angriff richtig timen und unsere erste Anfrage im richtigen Moment beenden, die zweite Anfrage mit den Rechten von UID 0 alias root stellen können.
• Das Timing zum Beenden der Verbindung wird als die Zeit berechnet, die zum Senden der dbus-Nachricht benötigt wird / 2. Detailliert erklärt hier.

Was macht dieses Skript eigentlich?

Wie bereits gesagt, dies ist nur ein Bash-Skript, das Kevin Backhouses PoC automatisiert. Die Kernbefehle sind dieselben; ich habe nur einige anfängliche Schritte automatisiert (wie das richtige Timing, das Scannen nach Schwachstellen, das Einfügen benutzerdefinierter Anmeldedaten, das Ausgeben von Farben usw.).

Wenn dieses Skript ohne Parameter ausgeführt wird, ist das Standardverhalten dieses Skripts wie folgt:

• Überprüfen des Distributionstyps. [Verwendung der Datei /etc/os-release.]
• Überprüfen der Installation von accountservice und gnome-control-center. [Bei rhel/centos/fedora wird rpm -qa verwendet, bei debian/ubuntu Distributionen wird dpkg -l verwendet].
• Wenn die Installationen gefunden werden, überprüft das Skript die polkit-Version. [0.113 (oder später) für rhel.centos,fedora und 0-105-26 für Debian/Ubuntu]
• Wenn die polkit-Version als verwundbar eingestuft wird, startet das Skript den Exploit
• Zuerst ermittelt das Skript die Zeit, die zum Senden der Anfrage mit debus-send benötigt wird, indem es bash time dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:`echo $username` string:"`echo $username`" int32:1 2>&1 >/dev/null ausführt.