CVE-2021-4034 (PwnKit) - Анализ и эксплуатация

Этот репозиторий содержит исходный код для демонстрации эксплуатации уязвимости CVE-2021-4034, также известной как PwnKit, обнаруженной в pkexec (часть пакета Polkit). Эта ошибка позволяет локально повысить привилегии до root с помощью использования вредоносных переменных окружения.

---

⚠️ Предупреждение

Этот код предоставляется исключительно в образовательных и исследовательских целях. Не используйте его в производственных системах или без явного разрешения. Неправильное использование может быть незаконным и противоречить условиям использования автора.

---

🧠 Техническое описание

Уязвимость проявляется, когда pkexec выполняется без аргументов, то есть argc == 0. В этом случае pkexec пытается обратиться к argv[1], не проверяя существование argv[0], что приводит к чтению из envp[0]. Это позволяет атакующему:

• Читать и перезаписывать переменные окружения, такие как GCONV_PATH.
• Принудительно загружать произвольную библиотеку .so для выполнения кода от имени root.

Эксплойт использует это условие для загрузки вредоносной библиотеки, которая открывает оболочку от имени пользователя root.

---

📁 Файлы репозитория

• cve-2021-4034.c: Исходный код эксплойта, который вызывает pkexec с argv[] = {NULL} и изменёнными переменными окружения.
• pwnkit.c: Исходный код вредоносной библиотеки, открывающей оболочку от имени root.

---

🛠️ Компиляция

gcc -Wall -o cve-2021-4034 cve-2021-4034.c
gcc -Wall -shared -fPIC -o pwnkit.so pwnkit.c

---

🧪 Инструкции по использованию (Подготовка окружения и выполнение)

mkdir GCONV_PATH=.
echo 'module UTF-8// PWNKIT// pwnkit 1' > gconv-modules
cp $(which true) GCONV_PATH=./pwnkit.so:.

./cve-2021-4034