A função main() do pkexec em polkit/src/programs/pkexec.c tem a estrutura #+begin_src text 435 main (int argc, char *argv[]) 436 { ... 534 for (n = 1; n < (guint) argc; n++) 535 { ... 568 } ... 610 path = g_strdup (argv[n]); ... #+end_src

Ideias principais:

• Usar análise simples de intervalos em argc.
• Limitar rhs / lhs de expressões àquelas que envolvem argc.

Versões a verificar:

• Todas as versões do Polkit a partir de 2009 são vulneráveis; primeira versão em maio de 2009 (commit c8c3d83, "Add a pkexec(1) command").

• podemos obter /um/ banco de dados [[https://lgtm.com/projects/g/freedesktop/polkit/ci/#ql][do lgtm]], o atual <2022-02-11 Fri> é =...srcVersion_a6bedfd...= mas este já está além do patch do polkit: #+BEGIN_SRC text commit a6bedfd09b7bba753de7a107dc471da0db801858 (origin/master, origin/HEAD, master) Author: Xi Ruoyao [email protected] Date: Thu Jan 27 10:16:32 2022 +0000

  root@kitploit:~

    jsauthority: port to mozjs-91
  

  commit a2bf5c9c83b6ae46cbd5c779d3055bff81ded683 Author: Jan Rybar [email protected] Date: Tue Jan 25 17:21:46 2022 +0000

  root@kitploit:~

    pkexec: local privilege escalation (CVE-2021-4034)
  

  #+END_SRC E podemos ver que o problema está corrigido: #+BEGIN_SRC text commit a2bf5c9c83b6ae46cbd5c779d3055bff81ded683 Author: Jan Rybar [email protected] Date: Tue Jan 25 17:21:46 2022 +0000

  root@kitploit:~

    pkexec: local privilege escalation (CVE-2021-4034)
  

  diff --git a/src/programs/pkcheck.c b/src/programs/pkcheck.c index f1bb4e1..768525c 100644 --- a/src/programs/pkcheck.c +++ b/src/programs/pkcheck.c @@ -363,6 +363,11 @@ main (int argc, char *argv[]) local_agent_handle = NULL; ret = 126;

  • if (argc < 1)
  • {
  • root@kitploit:~

     exit(126);
    

  • }
  • /* Disable remote file access from GIO. */ setenv ("GIO_USE_VFS", "local", 1); #+END_SRC

• Portanto, precisamos do [[https://gitlab.freedesktop.org/polkit/polkit.git][código-fonte]] e construir nossos próprios bancos de dados, um pré-patch, um pós.

A próxima seção percorre as etapas de construção, usando um contêiner Docker.

** Construir polkit e banco de dados CodeQL Precisamos da configuração de build do polkit antes de podermos obter um banco de dados codeql.

Opções de sistema operacional para a construção:

• macOS vale a pena tentar, mas isso se torna complicado cedo. Usar =brew= para obter dependências funciona até certo ponto, mas a dependência =mozjs-78= é uma versão específica do spidermonkey e construir /isso/ não é prático. #+BEGIN_SRC sh # autoconf... um pouco complicado em um mac brew install autoconf automake libtool gtk-doc export PATH="/usr/local/opt/libtool/libexec/gnubin:$PATH" ./autogen.sh

  root@kitploit:~

  # Usar meson?
  brew install meson ninja intltool glib gobject-introspection 
  

  #+END_SRC

• Linux é o ambiente nativo para o polkit, mas qual? A dependência mozjs-78 é uma versão específica do spidermonkey; além disso, o polkit não é usado por todas as distribuições:

  • Debian usa PolicyKit, não polkit.
  • Ubuntu:
    • 18.04 também não tem mozjs78 (apenas mozjs52)
    • 22.04 tem mozjs78

O Ubuntu 22.04 pode ser executado de várias maneiras, em hardware, uma VM (vmware, virtualbox, multipass, etc.), ou um contêiner docker em outro host. Para este problema, podemos usar um contêiner Docker e incluir também as ferramentas de linha de comando do codeql.

A definição do contêiner está em ./Dockerfiles, aqui está a sequência de construção: #+BEGIN_SRC shell # Imagem base para configurar o contêiner qlbuild docker pull ubuntu:jammy docker images docker run --cpus 4 -m 8GB -ti ubuntu:jammy

#+END_SRC Nota: ao usar o docker desktop no windows e mac, os limites de memória e cpu devem ser aumentados lá. Uma vez definidos, a sequência de execução do contêiner é simplesmente #+BEGIN_SRC sh # Executar como daemon para que permaneça ativo mesmo ao desconectar. docker run -d -p 127.0.0.1:2020:22 --cpus 8 -m 16GB qlbuild

#+END_SRC

Construindo no Ubuntu 22.04 #+BEGIN_SRC sh # --------------------------------- # Configuração/instalação do sistema, como root: echo "deb-src http://archive.ubuntu.com/ubuntu/ jammy main restricted" >> /etc/apt/sources.list apt-get update apt-get install -y zile build-essential git cmake
meson ninja-build
libmozjs-78-0 libmozjs-78-dev
libdbus-1-3 libdbus-1-dev apt-get build-dep -y policykit-1 apt install unzip

#+END_SRC

Copiar o banco de dados para um local permanente no host #+BEGIN_SRC sh # Copiar do contêiner mkdir -p ~/local/polkit && cd ~/local/polkit scp -rq -P 2020 test@localhost:/tmp/polkit/polkit-0.119.db . scp -rq -P 2020 test@localhost:/tmp/polkit/polkit-a2bf5c9c.db .

#+END_SRC

TODO

Enviar contêiner para reutilização, ver [[https://docs.github.com/en/packages/working-with-a-github-packages-registry/working-with-the-container-registry#pushing-container-images][documentação]]

#+BEGIN_SRC sh

docker login ghcr.io -u USERNAME

docker push ghcr.io/OWNER/IMAGE_NAME:latest

docker pull ghcr.io/OWNER/IMAGE_NAME

#+END_SRC

A seguir, a configuração para o desenvolvimento de consultas.

** Configuração para desenvolvimento de consultas As consultas podem ser exploradas via codeql cli sozinho, ou usando o codeql cli + o plugin VS Code. Para ambos os casos, instale o cli (veja a função =grab()= acima), e extraia os bancos de dados de [[./db]] ou construa-os como feito em [[*Build polkit and codeql db][Construir polkit e banco de dados codeql]]

A seguir, assumimos esta estrutura de diretórios para os bancos de dados: #+BEGIN_SRC text . ├── polkit-0.119.db │   ├── codeql-database.yml │   ├── db-cpp │   ├── log │   └── src.zip ├── polkit-0.119.zip ├── polkit-a2bf5c9c.db │   ├── codeql-database.yml │   ├── db-cpp │   ├── log │   └── src.zip └── polkit-a2bf5c9c.zip #+END_SRC

** A consulta A consulta é desenvolvida incrementalmente em [[./argv-out-of-bounds-*.ql]].

Os primeiros passos em [[./argv-out-of-bounds-0.ql]] usam o AST e referências de variáveis para restringir os resultados às partes conhecidas do problema, como a seguir.

#+BEGIN_SRC text declaration | 435 main (int argc, char *argv[]) | 436 { | ... init other var; | 534 for (n = 1; compare to argc | n < (guint) argc; update other var | n++) | 535 { | ... | 568 } | ... indexed read | 610 path = g_strdup (argv[n]); | ... | 629 if (path[0] != '/') | 630 { | ... | 632 s = g_find_program_in_path (path); | ... indexed write | 639 argv[n] = path = s; | 640 } #+END_SRC

A exploração de valores começa em [[./argv-out-of-bounds-1.ql]] com uma tentativa de usar a biblioteca =SimpleRangeAnalysis= via #+begin_src javascript lowerBound(cmp.getLeftOperand().getFullyConverted()), "left lower bound", lowerBound(cmp.getRightOperand().getFullyConverted()), "right lower bound" #+end_src Os limites são corretos para os tipos, mas muito gerais -- eles incluem os possíveis resultados da iteração. Estamos interessados apenas em limites iniciais que são estaticamente determinados, aqueles antes de qualquer iteração acontecer.

Em outras palavras, este não é um problema geral de fluxo de dados; queremos apenas verificar a propagação de valores iniciais ao longo de certos caminhos de execução. O loop =for= complica isso, assim como as operações dentro dele.

Realmente queremos ver caminhos de execução que contornam o loop completamente. Isso é feito nas partes finais de [[./argv-out-of-bounds-1.ql]], usando uma =SsaDefinition=.

A consulta [[./argv-out-of-bounds-2.ql]] limpa a exploração de [[./argv-out-of-bounds-1.ql]] e identifica corretamente todos os locais usando =n= com um valor de índice conhecido =n > 0=.

Esta consulta relata resultados na versão vulnerável do código, =polkit-0.119.db=. Em seguida, precisa ser verificada e aprimorada para que relate nada na versão corrigida, =polkit-a2bf5c9c.db=.

TODO

** Executando a consulta a partir da linha de comando

#+BEGIN_SRC sh

# Executar uma consulta contra o banco de dados, salvando os resultados no subdiretório results/

# do diretório do banco de dados para processamento posterior.

codeql database run-queries -j8 --ram=20000 -- $DB $SRCDIR/example.ql

# Obter informações gerais sobre os resultados disponíveis

codeql bqrs info --format=text -- $DB/results/cpp-sample/example.bqrs

# Formatar resultados usando bqrs decode.

codeql bqrs decode --output=cpp-simple.csv \

--format=csv --entities=all -- \

$DB/results/cpp-sample/example.bqrs

#+END_SRC