CVE-2021-3560

polkit のレースコンディションを介した権限昇格。

脆弱性の説明

CVE-2021-3560 は polkit のレースコンディションであり、認証されていないローカルユーザーが root 権限を取得できるようにします。この脆弱性は、接続が切断されたときに polkit が D-Bus エラーを処理する方法に存在します。

タイミングの決定

最適なタイミングを決定するには、次のコマンドを実行します。

time dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:testuser string:"Test User" int32:1

コードでは real 時間の半分 ± 0.003 の範囲を使用します。

なぜタイミングが重要なのか？

• プロセスを殺すのが早すぎると、リクエストが送信されない
• 遅すぎると、polkit が認証を確認して拒否する
• polkit がリクエストを受信したが、まだ認証を確認していない「ゴールデンウィンドウ」に当てる必要がある

エクスプロイトの仕組み：

• int32:1（wheel グループへの追加）パラメータでユーザー作成の D-Bus リクエストが送信される
• リクエストが途中で中断される（レースコンディション）
• polkit は認証確認を完了できない
• D-Bus は送信者を見つけられない
• polkit はエラーを誤って処理し、UID = 0（root）を割り当てる
• ユーザーは認証なしで作成される
• 新しいユーザーにパスワードを設定するリクエストが送信される（同じタイミングで）

成功統計

• ユーザーは 1～2 回の試行で作成される可能性がある
• パスワードの割り当てにはより多くの試行が必要
• 100 回の反復で成功率が高くなる

エクスプロイトが機能しない場合は、以下を試してください。

• コード内の TIMING_RANGE を拡張する
• スクリプトを複数回実行する
• SSH セッションにいることを確認する（グラフィカルセッションではない）