CVE-2021-3560 — Escalation dei privilegi in Polkit

CVE-2021-3560 è una vulnerabilità di escalation dei privilegi locale in Polkit (ex PolicyKit), il framework di autorizzazione utilizzato dagli ambienti desktop Linux. Un attaccante locale e non privilegiato può sfruttare una race condition nell'interfaccia D-Bus di accounts-daemon per creare un utente privilegiato, impostarne la password e ottenere infine l'accesso root.

Come Funziona

Contesto: Polkit + accounts-daemon

accounts-daemon (org.freedesktop.Accounts) è un servizio D-Bus di sistema che gestisce gli account utente (creazione, cancellazione, cambio password, ecc.). Espone metodi come:

Queste operazioni richiedono autorizzazione. Quando arriva una chiamata D-Bus, Polkit si interpone tra il chiamante e accounts-daemon:

Caller  →  D-Bus  →  Polkit (authorization check)  →  accounts-daemon (action)

Polkit decide se il chiamante ha il permesso e, in caso affermativo, inoltra la richiesta a accounts-daemon per l'esecuzione.

La Race Condition

La vulnerabilità è una race TOCTOU (Time Of Check, Time Of Use). Ecco il punto chiave:

1. Una chiamata al metodo D-Bus viene inviata a accounts-daemon (ad es., CreateUser).
2. Polkit la riceve ed esegue il controllo di autorizzazione — spesso affidandosi a un dialogo dell'agente polkit che va in timeout, restituendo una risposta "non autorizzato". Tuttavia, a causa di un bug, la gestione dei timeout/errori in polkit tratta erroneamente alcune condizioni di errore come successo o lascia l'elaborazione lato daemon in uno stato parzialmente autorizzato.
3. Se la chiamata D-Bus viene terminata esattamente nel momento giusto — dopo che la decisione di autorizzazione di Polkit è stata presa ma prima che accounts-daemon completi l'elaborazione — la creazione dell'utente va a buon fine senza una corretta autenticazione, ma il record utente risulta incompleto (ad es., nessuna password, nessuna home directory).
4. L'attaccante può quindi usare la stessa race per chiamare SetPassword sull'utente appena creato (ma non autenticato), oppure lo stato incompleto stesso concede privilegi elevati.

In breve: termina la richiesta al momento giusto e aggiri l'autenticazione.

Cosa Fa l'Exploit

Questo script exploit.sh automatizza l'intera catena di attacco:

Utilizzo

# Clone the repository
git clone https://github.com/Jeanback1/CVE-2021-3560.git
cd CVE-2021-3560

# Make the exploit executable
chmod +x exploit.sh

# Run it
./exploit.sh

Una volta completato l'exploit, avrai una shell root:

whoami
# root

Esempio di output

Versioni Interessate

La vulnerabilità è stata corretta in polkit 0.120 e successive.

Distribuzioni con patch (elenco non esaustivo):

• Ubuntu 20.04+ (con aggiornamenti di sicurezza dopo giugno 2021)
• Debian 11+ (con aggiornamenti di sicurezza)
• RHEL 8+ / CentOS 8+ (con erratum)
• Fedora 34+

Disclaimer

Questo repository è destinato esclusivamente a ricerca educativa e test di sicurezza autorizzati. Non usare questo exploit su sistemi che non possiedi o per cui non hai il permesso esplicito di testare. L'autore non si assume alcuna responsabilità per un uso improprio.