搜索

[29064] 2021-07-12_【漏洞利用】CVE-2021-3560Polkit权限提升

文档创建者：s7ckTeam
浏览次数：60
最后更新：2025-01-19
2021-07-12_【漏洞利用】CVE-2021-3560Polkit权限提升 【 漏 洞 利 用 】 C V E - 2 0 2 1 - 3 5 6 0   P o l k i t 权 限 提 升 O t s 安 全   2 0 2 1 - 0 7 - 1 2 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍 使 用   P o l k i t   提 升 您 的 权 限 。 介 绍 介 绍 首 先 ， 我 要 感 谢 M u i r l a n d O r a c l e 至 极 创 建 房 间 P o l k i t ： C V E - 2 0 2 1 - 3 5 6 0 的 T r y H a c k M e 。 我 在 做 完 房 间 之 后 写 了 这 篇 文 章 ， 以 帮 助 我 更 多 地 了 解 这 个 漏 洞 并 分 享 有 关 它 的 详 细 信 息 。 什 么 是 什 么 是 P o l k i t ？ ？ P o l k i t （ 以 前 称 为 P o l i c y K i t ） 是 在 类   U n i x   操 作 系 统 中 控 制 系 统 范 围 权 限 的 组 件 。 它 为 非 特 权 进 程 与 特 权 进 程 通 信 提 供 了 一 种 有 组 织 的 方 式 。 P o l k i t   允 许 对 集 中 式 系 统 策 略 进 行 一 定 程 度 的 控 制 。 它 由 来 自 R e d   H a t 的   D a v i d   Z e u t h e n   开 发 和 维 护 ， 并 由 f r e e d e s k t o p . o r g 项 目 托 管 。 阿 科 ř 丁 到 P o l k i t 参 考 手 册 ， p o l k i t 的 系 统 架 构 包 括 管 理 局 （ 作 为 系 统 的 消 息 总 线 上 的 服 务 中 实 现 ） 和 每 个 用 户 会 话 的 认 证 代 理 的 （ 提 供 与 由 用 户 的 图 形 环 境 中 启 动 ） 。 操 作 由 应 用 程 序 定 义 。 供 应 商 、 站 点 和 系 统 管 理 员 可 以 通 过 授 权 规 则 控 制 授 权 策 略 。 C V E - 2 0 2 1 – 3 5 6 0 ： ： P o l k i t   是   L i n u x   授 权 系 统 的 一 部 分 。 实 际 上 ， 当 您 尝 试 执 行 需 要 更 高 级 别 权 限 的 操 作 时 ， 可 以 使 用 策 略 工 具 包 来 确 定 您 是 否 具 有 必 要 的 权 限 。 它 与   s y s t e m d   集 成 ， 并 且 比 传 统 的   s u d o   系 统 更 具 可 配 置 性 。 事 实 上 ， 它 有 时 被 称 为 “ s y s t e m d   的   s u d o ” 。 2 0 2 1   年 初 ， 一 位 名 叫 K e v i n   B a c k h o u s e 的 研 究 人 员 在   L i n u x   p o l k i t   实 用 程 序 中 发 现 了 一 个 已 有 七 年 历 史 的 特 权 升 级 漏 洞 （ 自 指 定 为   C V E - 2 0 2 1 - 3 5 6 0 ） 。
P o l k i t   可 能 会 被 欺 骗 绕 过   D - B u s   请 求 的 凭 据 检 查 ， 将 请 求 者 的 权 限 提 升 到   r o o t   用 户 。 例 如 ， 无 特 权 的 本 地 攻 击 者 可 以 利 用 此 漏 洞 创 建 新 的 本 地 管 理 员 。 此 漏 洞 的 最 大 威 胁 是 数 据 机 密 性 和 完 整 性 以 及 系 统 可 用 性 。 不 同 的   L i n u x   发 行 版 （ 甚 至 同 一 发 行 版 的 不 同 版 本 ） 使 用 不 同 版 本 的 软 件 ， 这 意 味 着 只 有 一 些 容 易 受 到 攻 击 。 以 下 主 流 发 行 版 很 容 易 受 到 攻 击 ： 红 帽 企 业   L i n u x   8 F e d o r a   2 1 （ 或 更 高 版 本 ） D e b i a n   测 试 （ “ 靶 心 ” ） U b u n t u   2 0 . 0 4   L T S （ “ 焦 点 窝 ” ） 这 个 漏 洞 的 原 始 描 述 可 以 在   K e v i n   B a c k h o u s e   写 的 一 篇 文 章 中 找 到 ， h t t p s : / / g i t h u b . b l o g / 2 0 2 1 - 0 6 - 1 0 - p r i v i l e g e - e s c a l a t i o n - p o l k i t - r o o t - o n - l i n u x - w i t h - b u g / 。 P o l k i t   有 多 脆 弱 ？ 有 多 脆 弱 ？ 通 过 手 动 将   d b u s   消 息 发 送 到   d b u s - d a e m o n （ 实 际 上 是 一 个 允 许 不 同 进 程 能 够 相 互 通 信 的   A P I ） ， 然 后 在 请 求 被 完 全 处 理 之 前 终 止 请 求 ， 我 们 可 以 欺 骗   p o l k i t   授 权 命 令 。 如 果 您 不 熟 悉 守 护 进 程 ， 它 们 实 际 上 是 在   L i n u x   上 运 行 的 后 台 服 务 。 d b u s - d a e m o n   是 一 个 在 后 台 运 行 的 程 序 ， 它 在 应 用 程 序 之 间 代 理 消 息 。 攻 击 者 手 动 向 a c c o u n t s - d a e m o n   发 送 一 条 d b u s   消 息 ， 请 求 创 建 一 个 具 有 s u d o   权 限 的 新 帐 户 （ 或 稍 后 为 新 用 户 设 置 密 码 ） 。 该 消 息 由   d b u s - d a e m o n   赋 予 一 个 唯 一 的   I D 。 攻 击 者 在   p o l k i t   收 到 消 息 后 ， 但 在   p o l k i t   有 机 会 处 理 该 消 息 之 前 杀 死 该 消 息 。 这 有 效 地 破 坏 了 唯 一 的 消 息   I D 。 P o l k i t   向   d b u s - d a e m o n   询 问 发 送 消 息 的 用 户 的 用 户   I D ， 引 用 （ 现 已 删 除 ） 消 息   I D 。 d b u s - d a e m o n   找 不 到 消 息   I D ， 因 为 我 们 在 第 二 步 中 杀 死 了 它 。 它 通 过 响 应 错 误 代 码 来 处 理 错 误 。 P o l k i t   错 误 地 处 理 了 错 误 并 用   0   替 换 了 用 户   I D   —   即 机 器 的   r o o t   帐 户 。 考 虑 到   r o o t   用 户 请 求 了 该 操 作 ， p o l k i t   允 许 该 请 求 不 受 挑 战 地 通 过 。 简 而 言 之 ， 通 过 在   d b u s - d a e m o n   有 机 会 为   p o l k i t   提 供 正 确   I D   之 前 销 毁 消 息   I D ， 我 们 利 用   p o l k i t   中 糟 糕 的 错 误 处 理 来 诱 使 该 实 用 程 序 认 为 请 求 是 由 全 能 的   r o o t   用 户 发 出 的 . T h e   E x p l o i t a t i o n 第 一 个 命 令 将 手 动 向 帐 户 守 护 程 序 发 送 一 条   d b u s   消 息 ， 打 印 响 应 并 创 建 一 个 名 为 a t t a c k e r   ( s t r i n g : a t t a c k e r )   的 新 用 户 ， 其 描 述 为 “ P e n t e s t e r
A c c o u n t ” （ 字 符 串 ： “ P e n t e s t e r   A c c o u n t ” ） 和 s u d o   的 成 员 身 份 g r o u p   设 置 为   t r u e （ 由   i n t 3 2 : 1   标 志 引 用 ） 。 使 用   t i m e   命 令 ， 我 们 确 定 命 令 运 行 需 要 多 长 时 间 。 这 需 要   0 . 0 1 1   秒 或   1 1   毫 秒 。 每 次 运 行 命 令 时 ， 这 个 数 字 都 会 略 有 不 同 。 我 们 需 要 在 大 约 执 行 到 一 半 时 终 止 命 令 ， 这 是 第 二 个 命 令 。 五 毫 秒 通 常 在 提 供 的 机 器 上 工 作 得 很 好 ； 但 是 ， 请 注 意 ， 这 不 是 一 个 确 切 的 事 情 。 您 可 能 需 要 更 改 睡 眠 时 间 ， 或 多 次 运 行 该 命 令 才 能 生 效 。 也 就 是 说 ， 一 旦 你 找 到 一 个 合 适 的 时 间 ， 它 就 应 该 始 终 如 一 地 工 作 。 为 了 解 释 第 二 个 命 令 ， 我 们 在 后 台 作 业 中 发 送 了   d b u s   消 息 （ 使 用 与 号 将 命 令 置 于 后 台 ） 。 然 后 我 们 告 诉 它 休 眠   5   毫 秒 （ 休 眠   0 . 0 0 5   秒 ） ， 然 后 终 止 前 一 个 进 程 （ $ ！ ） 。 这 成 功 创 建 了 新 用 户 ， 并 将 其 添 加 到   s u d o   组 中 。 此 时 需 要 注 意 ， 本 实 例 中 新 用 户 的 用 户 I D 为 1 0 0 0 。 现 在 ， 我 们 需 要 给 “ 攻 击 者 ” 一 个 密 码 ， 所 以 让 我 们 在   S H A 5 1 2 - C r y p t   中 加 密 一 个 。 用 ( E x p l 0 1 t e d )   作 为 密 码 。 现 在 让 我 们 完 成 这 个 ！ 上 次 是   5   毫 秒 ， 所 以 它 也 应 该 在 这 里 工 作 。 我 们 只 需 要 将 我 们 创 建 的 哈 希 值 加 上 密 码   E x p l 0 1 t e d   即 可 。 参 考 ： P o l k i t   漏 洞 利 用   -   C V E - 2 0 2 1 - 3 5 6 0 C V E - 2 0 2 1 - 3 5 6 0   T r a i t o r 漏 洞 利 用 C V E - 2 0 2 1 - 3 5 6 0 ： L i n u x   权 限 提 升 漏 洞 警 报 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理