CVE-2021-4034-Rust — # CVE-2021-4034 polkit pkexec 로컬 권한 상승 익스플로잇의 Rust 구현, 빌드 지침 및 탐지 고려 사항 포함. | Kitploit

CVE-2021-4034-Rust

Rust로 작성된 polkit-1을 이용한 Linux LPE(Local Privilege Escalation) 도구입니다.

빌드 방법

아직 Rust를 설치하지 않았다면 설치하세요

git clone https://github.com/deoxykev/CVE-2021-4034-Rust
cd CVE-2021-4034-Rust
rustup target add x86_64-unknown-linux-musl
cargo build --release

취약점 확인

# pkexec 존재 여부 확인
which pkexec || echo not vuln

# pkexec의 suid 권한 확인
stat -c '%a' $(which pkexec) | grep -q 4755 || echo not vuln

# pkexec 패치 날짜 확인
stat -c '%y' $(which pkexec)
# 2022-01-12 이전 날짜는 패치되지 않았거나 취약할 수 있음

OPSEC 고려 사항

익스플로잇 파일을 /dev/shm(램디스크)에 기록함
- 이후 무작위로 생성된 디렉터리를 삭제할 것
- 파일 생성 시 탐지될 수 있음
- 셸코드가 하드코딩되어 있으므로 폴리모픽 페이로드로 교체하는 것을 고려하세요 (예: msfvenom 출력)
null 인자로 pkexec에 syscall을 호출하면 탐지될 수 있음
pkexec 로그는 /var/log/auth.log에서 확인 가능함

pkexec[121401]: user: The value for the SHELL variable was not found the /etc/shells file [USER=root] [TTY=/dev/pts/8] [CWD=/dev/shm/YWdQYnE3TSNlwNKMXEwYcGRVmdYipb] [COMMAND=GCONV_PATH=./tSq82ptZaDiyXWZz0BOybdH9fINqCG PATH=GCONV_PATH=. CHARSET=mgELtKAB9sXo0a9KJk00NNO0wa4x0J SHELL=mgELtKAB9sXo0a9KJk00NNO0wa4x0J]

Sigma 규칙 탐지

https://github.com/SigmaHQ/sigma/blob/master/rules/linux/auditd/lnx_auditd_cve_2021_4034.yml

크레딧

취약점 공개 - qualsys research team - https://blog.qualys.com/vulnerabilities-threat-research/2022/01/25/pwnkit-local-privilege-escalation-vulnerability-discovered-in-polkits-pkexec-cve-2021-4034 셸코드 - @johkrupp - https://saarsec.rocks/2020/05/14/golf.so.html

도구 다운로드