CVE-2021-3560-Polkit-Privilege-Esclation PoC

Recherche originale par Kevin Backhouse

Ceci est simplement un script PoC en Bash qui automatise les étapes d'exploitation mentionnées dans le blog de Kevin Backhouse. Lisez son article sur cette vulnérabilité : https://github.blog/2021-06-10-privilege-escalation-polkit-root-on-linux-with-bug/

Utilisation

USAGE:
     ./poc.sh
     -h --help
     -u=Enter custom username to insert (OPTIONAL)
     -p=Enter custom password to insert (OPTIONAL)
     -f=y, To skip vulnerability check and force exploitation. (OPTIONAL)
     -t=Enter custom sleep time, instead of automatic detection (OPTIONAL)
     Format to enter time: '-t=.004' or '-t=0.004' if you want to set sleep time as 0.004ms 
Note:
Equal to symbol (=) after specifying an option is mandatory.
If you donot specify the options, then the script will automatically detect the possible time and
will try to insert a new user using that time.
Default credentials are 'secnigma:secnigmaftw'
If the exploit ran successfully, then you can login using 'su - secnigma'
and you can spawn a bash shell as root using 'sudo bash'

Points à noter :

• Cet exploit fonctionne uniquement sur les distributions qui ont installé accountsservice et gnome-control-center et qui doivent avoir polkit version 0.113 (ou ultérieure) OU 0-105-26 (fork Debian de polkit).
• Cet exploit a été testé sur Ubuntu 20.04, avec polkit version 0-105-26 (fork Debian de polkit) et Centos 8 avec la version 0.115 de polkit. Si vous êtes sûr que votre cible est vulnérable, mais que la fonction de vérification de l'exploit échoue, utilisez l'option -f=y pour contourner toutes les vérifications et forcer l'exploit.
• Les distributions telles que RHEL 8, Fedora 21, Debian testing ("bullseye") et Ubuntu 20.04 se sont avérées vulnérables.

Comment fonctionne l'exploit ?

Une explication complète et un PoC pour exploiter cette vulnérabilité manuellement sont fournis en détail sur le blog du chercheur.

TL;DR de cet exploit est donné ci-dessous :

• Cette attaque nécessite un timing précis et nous devons nous connecter via SSH (ou une session en ligne de commande, où l'ouverture d'applications graphiques n'est pas une option).
• Un attaquant peut exploiter cette vulnérabilité en déclenchant polkit via l'envoi d'un message dbus, mais en fermant la requête brutalement pendant que polkit traite la requête. L'attaquant peut ensuite envoyer une seconde requête avec l'identifiant de bus unique de la requête précédente, afin d'exécuter la requête en tant qu'UID 0, alias root.
• Cette vulnérabilité existe dans polkit, car il traite l'UID d'une connexion dont l'identifiant de bus n'existe plus comme une requête provenant de l'UID 0. Cela signifie que, si nous pouvons synchroniser correctement l'attaque et terminer notre première requête au bon moment, nous pouvons alors envoyer la seconde requête avec les privilèges de l'UID 0, alias root.
• Le timing pour terminer la connexion est calculé comme le temps requis pour envoyer le message dbus / 2. Expliqué en détail ici.

Que fait réellement ce script ?

Comme je l'ai dit précédemment, ce n'est qu'un script bash qui automatise le PoC de Kevin Backhouse. Les commandes de base sont les mêmes ; j'ai simplement automatisé certaines étapes initiales (comme obtenir le bon timing, analyser la vulnérabilité, insérer des identifiants personnalisés, afficher de jolies couleurs, etc.).

Si ce script est exécuté sans aucun paramètre, le comportement par défaut de ce script est le suivant :

• Vérifier le type de distribution. [En utilisant le fichier /etc/os-release.]
• Vérifier l'installation de accountservice et gnome-control-center. [Sur rhel/centos/fedora, utilise rpm -qa et sur les distributions debian/ubuntu, utilise dpkg -l].
• Si les installations sont trouvées, le script vérifie alors la version de polkit. [ 0.113 (ou ultérieure) pour rhel.centos,fedora et 0-105-26 pour Debian/Ubuntu]
• Si la version de polkit s'avère vulnérable, le script lance l'exploitation.
• Premièrement, le script détermine le temps requis pour envoyer la requête via debus-send en exécutant bash time dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:`echo $username` string:"`echo $username`" int32:1 2>&1 >/dev/null