CVE-2021-3560-Polkit-Escalade-de-Privileges PoC

Recherche originale par Kevin Backhouse

Ceci est simplement un script Bash PoC qui automatise les étapes d'exploitation mentionnées dans le blog de Kevin Backhouse. Lisez son article sur cette vulnérabilité : https://github.blog/2021-06-10-privilege-escalation-polkit-root-on-linux-with-bug/

Utilisation

USAGE:
     ./poc.sh
     -h --help
     -u=Enter custom username to insert (OPTIONAL)
     -p=Enter custom password to insert (OPTIONAL)
     -f=y, To skip vulnerability check and force exploitation. (OPTIONAL)
     -t=Enter custom sleep time, instead of automatic detection (OPTIONAL)
     Format to enter time: '-t=.004' or '-t=0.004' if you want to set sleep time as 0.004ms 
Note:
Equal to symbol (=) after specifying an option is mandatory.
If you donot specify the options, then the script will automatically detect the possible time and
will try to insert a new user using that time.
Default credentials are 'secnigma:secnigmaftw'
If the exploit ran successfully, then you can login using 'su - secnigma'
and you can spawn a bash shell as root using 'sudo bash'

Points à noter :

• Cet exploit fonctionne uniquement sur les distributions qui ont installé accountsservice et gnome-control-center et qui doivent avoir la version 0.113 (ou ultérieure) de polkit OU la version 0-105-26 (fork Debian de polkit).
• Cet exploit a été testé sur Ubuntu 20.04, avec la version 0-105-26 de polkit (fork Debian de polkit) et Centos 8 avec la version 0.115 de polkit. Si vous êtes sûr que votre cible est vulnérable, mais que la fonction de vérification de l'exploit échoue, utilisez le drapeau -f=y pour contourner toutes les vérifications et forcer l'exploit.
• Les distributions telles que RHEL 8, Fedora 21, Debian testing (« bullseye ») et Ubuntu 20.04 se sont avérées vulnérables.

Comment fonctionne l'exploit ?

Une explication complète et un PoC pour exploiter manuellement cette vulnérabilité sont donnés en détail sur le blog du chercheur.

TL;DR de cet exploit ci-dessous :

• Cette attaque nécessite un timing précis et nous devons nous connecter via SSH (ou une session en ligne de commande, où l'ouverture d'applications graphiques n'est pas possible).
• Un attaquant peut exploiter cette vulnérabilité en déclenchant polkit en envoyant un message dbus, mais en fermant brusquement la requête pendant que polkit traite la demande. Ensuite, l'attaquant peut envoyer une seconde requête avec l'identifiant de bus unique de la requête précédente, pour exécuter la requête en tant qu'UID 0 alias root.
• Cette vulnérabilité existe dans polkit, car il traite l'UID d'une connexion avec un identifiant de bus qui n'existe plus comme une requête provenant de l'UID 0. Cela signifie que si nous pouvons chronométrer correctement l'attaque et terminer notre première requête au bon moment, nous pouvons alors envoyer la seconde requête avec les privilèges de l'UID 0 alias root.
• Le timing pour terminer la connexion est calculé comme le temps nécessaire pour envoyer le message dbus / 2. Expliqué en détail ici.

Que fait réellement ce script ?

Comme je l'ai dit précédemment, il s'agit simplement d'un script bash qui automatise le PoC de Kevin Backhouse. Les commandes principales sont les mêmes ; j'ai simplement automatisé quelques étapes initiales (comme obtenir le bon timing, scanner la vulnérabilité, insérer des identifiants personnalisés, afficher de jolies couleurs, etc.).

Si ce script est exécuté sans aucun paramètre, le comportement par défaut de ce script est le suivant :

• Vérifier le type de distribution. [En utilisant le fichier /etc/os-release.]
• Vérifie l'installation de accountservice et gnome-control-center. [Dans les distributions rhel/centos/fedora, utilise rpm -qa et dans les distributions debian/ubuntu, utilise dpkg -l].
• Si les installations sont trouvées, le script vérifie la version de polkit. [ 0.113 (ou ultérieure) pour rhel.centos,fedora et 0-105-26 pour Debian/Ubuntu]
• Si la version de polkit est trouvée vulnérable, le script commence l'exploitation
• Tout d'abord, le script trouve le temps nécessaire pour envoyer la requête en utilisant dbus-send en exécutant bash time dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:`echo $username` string:"`echo $username`" int32:1 2>&1 >/dev/null