CVE-2021-3560 — Polkit 権限昇格

CVE-2021-3560 は、Linux デスクトップ環境で使用される認可フレームワークである Polkit (旧 PolicyKit) におけるローカル権限昇格の脆弱性です。ローカルの非特権攻撃者は、accounts-daemon D-Bus インターフェースの競合状態を悪用して、特権ユーザーを作成し、そのパスワードを設定し、最終的に root アクセスを獲得できます。

動作の仕組み

背景: Polkit + accounts-daemon

accounts-daemon (org.freedesktop.Accounts) は、ユーザーアカウント (作成、削除、パスワード変更など) を管理するシステム D-Bus サービスです。以下のようなメソッドを公開しています:

これらの操作には認可が必要です。D-Bus 呼び出しが到着すると、Polkit は呼び出し元と accounts-daemon の間に介在します:

Caller  →  D-Bus  →  Polkit (authorization check)  →  accounts-daemon (action)

Polkit は呼び出し元に権限があるかどうかを判断し、権限があればリクエストを accounts-daemon に転送して実行させます。

競合状態

この脆弱性は TOCTOU (Time Of Check, Time Of Use) 競合状態です。ここが重要なポイントです:

1. D-Bus メソッド呼び出しが accounts-daemon に送信されます (例: CreateUser)。
2. Polkit がそれを受け取り、認可チェックを実行します — 多くの場合、タイムアウトして「未認可」応答を返す polkit エージェントダイアログに依存します。しかし、バグにより、polkit のタイムアウト/エラー処理は特定のエラー状態を誤って成功として扱うか、デーモン側の処理を部分的に認可された状態のままにします。
3. D-Bus 呼び出しが正確に適切な瞬間に強制終了された場合 — Polkit の認可判断が下された後、accounts-daemon の処理が完了する前 — ユーザー作成は適切な認証なしに実行されますが、ユーザーレコードは不完全な状態 (例: パスワードなし、ホームディレクトリなし) になります。
4. 攻撃者はその後、同じ競合状態を使用して、新しく作成された (ただし認証されていない) ユーザーに対して SetPassword を呼び出すか、不完全な状態自体が昇格された特権を付与します。

要するに、適切なタイミングでリクエストを強制終了すれば、認証をバイパスできます。

エクスプロイトの動作

この exploit.sh スクリプトは、攻撃チェーン全体を自動化します:

使い方

# Clone the repository
git clone https://github.com/Jeanback1/CVE-2021-3560.git
cd CVE-2021-3560

# Make the exploit executable
chmod +x exploit.sh

# Run it
./exploit.sh

エクスプロイトが完了すると、root シェルが得られます:

whoami
# root

出力例

影響を受けるバージョン

この脆弱性は polkit 0.120 以降でパッチされました。

パッチ適用済みディストリビューション (一部抜粋):

• Ubuntu 20.04+ (2021年6月以降のセキュリティ更新を含む)
• Debian 11+ (セキュリティ更新を含む)
• RHEL 8+ / CentOS 8+ (エラータ含む)
• Fedora 34+

免責事項

このリポジトリは、教育および許可されたセキュリティ研究専用です。所有していない、またはテストする明示的な許可がないシステムでこのエクスプロイトを使用しないでください。作成者は誤用に対する一切の責任を負いません。