La fonction main() de pkexec dans polkit/src/programs/pkexec.c a la structure #+begin_src text 435 main (int argc, char *argv[]) 436 { ... 534 for (n = 1; n < (guint) argc; n++) 535 { ... 568 } ... 610 path = g_strdup (argv[n]); ... #+end_src

Idées principales :

• Utiliser une analyse de plages simple sur argc.
• Limiter rhs / lhs des expressions à celles impliquant argc.

Versions à vérifier :

• Toutes les versions de Polkit à partir de 2009 sont vulnérables ; première version en mai 2009 (commit c8c3d83, « Add a pkexec(1) command »).

• nous pouvons obtenir /une/ base de données [[https://lgtm.com/projects/g/freedesktop/polkit/ci/#ql][depuis lgtm]], celle actuelle <2022-02-11 ven> est =...srcVersion_a6bedfd...= mais celle-ci est déjà après le correctif polkit : #+BEGIN_SRC text commit a6bedfd09b7bba753de7a107dc471da0db801858 (origin/master, origin/HEAD, master) Author: Xi Ruoyao [email protected] Date: Thu Jan 27 10:16:32 2022 +0000

  root@kitploit:~

    jsauthority: port to mozjs-91
  

  commit a2bf5c9c83b6ae46cbd5c779d3055bff81ded683 Author: Jan Rybar [email protected] Date: Tue Jan 25 17:21:46 2022 +0000

  root@kitploit:~

    pkexec: local privilege escalation (CVE-2021-4034)
  

  #+END_SRC Et nous pouvons voir que le problème est corrigé : #+BEGIN_SRC text commit a2bf5c9c83b6ae46cbd5c779d3055bff81ded683 Author: Jan Rybar [email protected] Date: Tue Jan 25 17:21:46 2022 +0000

  root@kitploit:~

    pkexec: local privilege escalation (CVE-2021-4034)
  

  diff --git a/src/programs/pkcheck.c b/src/programs/pkcheck.c index f1bb4e1..768525c 100644 --- a/src/programs/pkcheck.c +++ b/src/programs/pkcheck.c @@ -363,6 +363,11 @@ main (int argc, char *argv[]) local_agent_handle = NULL; ret = 126;

  • if (argc < 1)
  • {
  • root@kitploit:~

     exit(126);
    

  • }
  • /* Disable remote file access from GIO. */ setenv ("GIO_USE_VFS", "local", 1); #+END_SRC

• Nous avons donc besoin du [[https://gitlab.freedesktop.org/polkit/polkit.git][code source]] et de construire nos propres bases de données, une avant correctif, une après.

La section suivante détaille les étapes de construction, en utilisant un conteneur Docker.

** Construire polkit et la base de données CodeQL Nous avons besoin de la configuration de construction pour polkit avant de pouvoir obtenir une base de données codeql.

Options de systèmes d'exploitation pour la construction :

• macOS vaut la peine d'être essayé, mais cela devient délicat rapidement. Utiliser =brew= pour obtenir les dépendances fonctionne jusqu'à un certain point, mais la dépendance =mozjs-78= est une version spécifique de spidermonkey et construire /cela/ n'est pas pratique. #+BEGIN_SRC sh # autoconf... un peu délicat sur un mac brew install autoconf automake libtool gtk-doc export PATH="/usr/local/opt/libtool/libexec/gnubin:$PATH" ./autogen.sh

  root@kitploit:~

  # Utiliser meson ?
  brew install meson ninja intltool glib gobject-introspection 
  

  #+END_SRC

• Linux est l'environnement natif pour polkit, mais lequel ? La dépendance mozjs-78 est une version spécifique de spidermonkey ; de plus, polkit n'est pas utilisé par toutes les distributions :

  • Debian utilise PolicyKit, pas polkit.
  • Ubuntu :
    • 18.04 manque également mozjs78 (seulement mozjs52)
    • 22.04 a mozjs78

Ubuntu 22.04 peut être exécuté de plusieurs manières, sur du matériel, une VM (vmware, virtualbox, multipass, etc.), ou un conteneur docker sur un autre hôte. Pour ce problème, nous pouvons utiliser un conteneur Docker et inclure également les outils en ligne de commande codeql.

La définition du conteneur est dans ./Dockerfiles, voici la séquence de construction : #+BEGIN_SRC shell # Image de base pour configurer le conteneur qlbuild docker pull ubuntu:jammy docker images docker run --cpus 4 -m 8GB -ti ubuntu:jammy

#+END_SRC Remarque : lors de l'utilisation de docker desktop sur windows et mac, les limites de mémoire et de cpu doivent être augmentées là-bas. Une fois définies, la séquence d'exécution du conteneur est simplement #+BEGIN_SRC sh # Exécuter en tant que démon pour qu'il reste actif même en cas de déconnexion. docker run -d -p 127.0.0.1:2020:22 --cpus 8 -m 16GB qlbuild

#+END_SRC

Construction sur Ubuntu 22.04 #+BEGIN_SRC sh # --------------------------------- # Configuration/installation du système, en tant que root : echo "deb-src http://archive.ubuntu.com/ubuntu/ jammy main restricted" >> /etc/apt/sources.list apt-get update apt-get install -y zile build-essential git cmake
meson ninja-build
libmozjs-78-0 libmozjs-78-dev
libdbus-1-3 libdbus-1-dev apt-get build-dep -y policykit-1 apt install unzip

#+END_SRC

Copier la base de données vers un emplacement permanent sur l'hôte #+BEGIN_SRC sh # Copier depuis le conteneur mkdir -p ~/local/polkit && cd ~/local/polkit scp -rq -P 2020 test@localhost:/tmp/polkit/polkit-0.119.db . scp -rq -P 2020 test@localhost:/tmp/polkit/polkit-a2bf5c9c.db .

#+END_SRC

TODO

Pousser le conteneur pour réutilisation, voir [[https://docs.github.com/en/packages/working-with-a-github-packages-registry/working-with-the-container-registry#pushing-container-images][documentation]]

#+BEGIN_SRC sh

docker login ghcr.io -u USERNAME

docker push ghcr.io/OWNER/IMAGE_NAME:latest

docker pull ghcr.io/OWNER/IMAGE_NAME

#+END_SRC

Ensuite, la configuration pour le développement de requêtes.

** Configuration du développement de requêtes Les requêtes peuvent être explorées via le cli codeql seul, ou en utilisant le cli codeql + le plugin VS Code. Dans les deux cas, installer le cli (voir la fonction =grab()= ci-dessus), et extraire les bases de données de [[./db]] ou les construire comme fait dans [[*Build polkit and codeql db][Construire polkit et la base de données codeql]]

Dans ce qui suit, nous supposons cette structure de répertoires pour les bases de données : #+BEGIN_SRC text . ├── polkit-0.119.db │   ├── codeql-database.yml │   ├── db-cpp │   ├── log │   └── src.zip ├── polkit-0.119.zip ├── polkit-a2bf5c9c.db │   ├── codeql-database.yml │   ├── db-cpp │   ├── log │   └── src.zip └── polkit-a2bf5c9c.zip #+END_SRC

** La requête La requête est développée de manière incrémentale dans [[./argv-out-of-bounds-*.ql]].

Les premières étapes dans [[./argv-out-of-bounds-0.ql]] utilisent l'AST et les références de variables pour réduire les résultats aux parties connues du problème, comme dans ce qui suit.

#+BEGIN_SRC text declaration | 435 main (int argc, char *argv[]) | 436 { | ... init other var; | 534 for (n = 1; compare to argc | n < (guint) argc; update other var | n++) | 535 { | ... | 568 } | ... indexed read | 610 path = g_strdup (argv[n]); | ... | 629 if (path[0] != '/') | 630 { | ... | 632 s = g_find_program_in_path (path); | ... indexed write | 639 argv[n] = path = s; | 640 } #+END_SRC

L'exploration des valeurs commence dans [[./argv-out-of-bounds-1.ql]] avec une tentative d'utilisation de la bibliothèque =SimpleRangeAnalysis= via #+begin_src javascript lowerBound(cmp.getLeftOperand().getFullyConverted()), "left lower bound", lowerBound(cmp.getRightOperand().getFullyConverted()), "right lower bound" #+end_src Les bornes sont correctes pour les types, mais trop générales -- elles incluent les résultats possibles de l'itération. Nous ne sommes intéressés que par les bornes initiales qui sont statiquement déterminées, celles avant toute itération.

Autrement dit, ce n'est pas un problème général de flux de données ; nous voulons seulement vérifier la propagation des valeurs initiales le long de certains chemins d'exécution. La boucle =for= complique cela, tout comme les opérations qu'elle contient.

Nous voulons vraiment voir les chemins d'exécution qui contournent complètement la boucle. Cela est fait dans les dernières parties de [[./argv-out-of-bounds-1.ql]], en utilisant une =SsaDefinition=.

La requête [[./argv-out-of-bounds-2.ql]] nettoie l'exploration de [[./argv-out-of-bounds-1.ql]] et identifie correctement tous les emplacements utilisant =n= avec une valeur d'index connue =n > 0=.

Cette requête rapporte des résultats sur la version vulnérable du code, =polkit-0.119.db=. Ensuite, elle doit être vérifiée et améliorée pour ne rien rapporter sur la version corrigée, =polkit-a2bf5c9c.db=.

TODO

** Exécution de la requête depuis la ligne de commande

#+BEGIN_SRC sh

# Exécuter une requête contre la base de données, en enregistrant les résultats dans le sous-répertoire results/

# du répertoire de la base de données pour un traitement ultérieur.

codeql database run-queries -j8 --ram=20000 -- $DB $SRCDIR/example.ql

# Obtenir des informations générales sur les résultats disponibles

codeql bqrs info --format=text -- $DB/results/cpp-sample/example.bqrs

# Formater les résultats en utilisant le décodage bqrs.

codeql bqrs decode --output=cpp-simple.csv \

--format=csv --entities=all -- \

$DB/results/cpp-sample/example.bqrs

#+END_SRC