CVE-2021-3560 — Повышение привилегий в Polkit

CVE-2021-3560 — это локальная уязвимость повышения привилегий в Polkit (ранее PolicyKit) — фреймворке авторизации, используемом в Linux-окружениях рабочего стола. Локальный непривилегированный злоумышленник может использовать состояние гонки в D-Bus-интерфейсе accounts-daemon, чтобы создать привилегированного пользователя, задать ему пароль и в итоге получить доступ root.

Как это работает

Предыстория: Polkit + accounts-daemon

accounts-daemon (org.freedesktop.Accounts) — это системный D-Bus-сервис, который управляет учётными записями пользователей (создание, удаление, смена пароля и т. д.). Он предоставляет такие методы, как:

Эти операции требуют авторизации. Когда поступает D-Bus-вызов, Polkit находится между вызывающей стороной и accounts-daemon:

Caller  →  D-Bus  →  Polkit (authorization check)  →  accounts-daemon (action)

Polkit решает, есть ли у вызывающей стороны разрешение, и если да — передаёт запрос в accounts-daemon для выполнения.

Состояние гонки

Уязвимость представляет собой гонку типа TOCTOU (Time Of Check, Time Of Use). Вот ключевая идея:

1. D-Bus-вызов метода отправляется в accounts-daemon (например, CreateUser).
2. Polkit получает его и выполняет проверку авторизации — часто полагаясь на диалог polkit-агента, который истекает по таймауту и возвращает ответ «не авторизовано». Однако из-за ошибки обработка таймаута/ошибок в polkit неверно трактует некоторые состояния ошибки как успех либо оставляет обработку на стороне демона в частично авторизованном состоянии.
3. Если D-Bus-вызов убить в точно нужный момент — после того как решение об авторизации принято Polkit, но до того как accounts-daemon завершит обработку, — создание пользователя проходит без надлежащей аутентификации, однако запись о пользователе оказывается неполной (например, без пароля, без домашнего каталога).
4. Затем злоумышленник может использовать ту же гонку для вызова SetPassword для только что созданного (но не аутентифицированного) пользователя, либо само неполное состояние предоставляет повышенные привилегии.

Короче говоря: убейте запрос в нужный момент — и вы обойдёте аутентификацию.

Что делает эксплойт

Этот скрипт exploit.sh автоматизирует всю цепочку атаки:

Использование

# Clone the repository
git clone https://github.com/Jeanback1/CVE-2021-3560.git
cd CVE-2021-3560

# Make the exploit executable
chmod +x exploit.sh

# Run it
./exploit.sh

После завершения эксплойта вы получите root-оболочку:

whoami
# root

Пример вывода

Затронутые версии

Уязвимость исправлена в polkit 0.120 и более поздних версиях.

Дистрибутивы с исправлением (неполный список):

• Ubuntu 20.04+ (с обновлениями безопасности после июня 2021 г.)
• Debian 11+ (с обновлениями безопасности)
• RHEL 8+ / CentOS 8+ (с erratum)
• Fedora 34+

Отказ от ответственности

Этот репозиторий предназначен только для образовательных целей и авторизованных исследований безопасности. Не используйте этот эксплойт на системах, которыми вы не владеете или на тестирование которых у вас нет явного разрешения. Автор не несёт ответственности за неправомерное использование.