CVE-2021-4034-Rust — Реализация эксплойта локального повышения привилегий CVE-2021-4034 polkit pkexec на языке Rust, с инструкциями по сборке и рекомендациями по обнаружению. | Kitploit

CVE-2021-4034-Rust

Локальное повышение привилегий (LPE) в Linux с использованием polkit-1, написанное на Rust.

Инструкции по сборке

Установите Rust, если ещё не установили

git clone https://github.com/deoxykev/CVE-2021-4034-Rust
cd CVE-2021-4034-Rust
rustup target add x86_64-unknown-linux-musl
cargo build --release

Проверка уязвимости

# проверка наличия pkexec
which pkexec || echo not vuln

# проверка suid-прав на pkexec
stat -c '%a' $(which pkexec) | grep -q 4755 || echo not vuln

# проверка даты патча pkexec
stat -c '%y' $(which pkexec)
# даты до 2022-01-12 могут означать отсутствие патча и наличие уязвимости

Рекомендации по OPSEC

Записывает файлы эксплойта в /dev/shm (ramdisk)
- удаляйте случайно сгенерированную директорию после использования
- может быть обнаружен при создании файлов
- shellcode захардкожен, рассмотрите замену на полиморфную нагрузку (например, вывод msfvenom)
syscall к pkexec с пустыми аргументами может быть обнаружен
логи pkexec видны в /var/log/auth.log

pkexec[121401]: user: The value for the SHELL variable was not found the /etc/shells file [USER=root] [TTY=/dev/pts/8] [CWD=/dev/shm/YWdQYnE3TSNlwNKMXEwYcGRVmdYipb] [COMMAND=GCONV_PATH=./tSq82ptZaDiyXWZz0BOybdH9fINqCG PATH=GCONV_PATH=. CHARSET=mgELtKAB9sXo0a9KJk00NNO0wa4x0J SHELL=mgELtKAB9sXo0a9KJk00NNO0wa4x0J]

Обнаружение с помощью Sigma-правил

https://github.com/SigmaHQ/sigma/blob/master/rules/linux/auditd/lnx_auditd_cve_2021_4034.yml

Благодарности

раскрытие уязвимости - исследовательская команда Qualys - https://blog.qualys.com/vulnerabilities-threat-research/2022/01/25/pwnkit-local-privilege-escalation-vulnerability-discovered-in-polkits-pkexec-cve-2021-4034 shellcode - @johkrupp - https://saarsec.rocks/2020/05/14/golf.so.html

Скачать инструмент