Linux Polkit 权限提升漏洞(CVE-2021-4034)

0x00 前言

复现一下去年的一个linux提权洞，CVE-2021-4034。这个漏洞的适用范围很广，据说可以提linux全发行版。在前段时间poc流出后引起了一定的关注度，所以有必要列入知识储备之中。

0x01 漏洞描述

国外安全团队披露了 Polkit 中的 pkexec 组件存在的本地权限提升漏洞（CVE-2021-4034），Polkit 默认安装在各个主要的 Linux 发行版本上， 是用于在类 Unix 操作系统中控制系统范围特权的组件。

它为非特权进程提供了与特权进程进行通信的有组织的方式。易受该漏洞影响的 pkexec 组件无法正确处理调用参数，并会尝试将环境变量作为命令执行。攻击者可以通过修改环境变量，从而诱导 pkexec 执行任意代码，利用成功可导致非特权用户获得管理员权限。

根据描述和实际的复现过程来看，这种提权方式属于系统组件服务+suid提权。相比内核提权应该是比较好用的，不需要登录ssh，也不会打崩系统。

0x02 复现过程

（1）先查看polkit组件的版本

rpm -qa|grep polkit

（2）然后查看系统发行版

rhel系统 cat /etc/os-release cat /etc/system-release cat /etc/redhat-release
centos系统 cat /etc/centos-release
fedora系统 cat /etc/fedora-release

（3）对照安全版本表（貌似不太准，实战时发现版本差不太多都可以试试）

　　安全版本

　　CentOS系列：

　　CentOS 6：polkit-0.96-11.el6_10.2

　　CentOS 7：polkit-0.112-26.el7_9.1

　　CentOS 8.0：polkit-0.115-13.el8_5.1

　　CentOS 8.2：polkit-0.115-11.el8_2.2

　　CentOS 8.4：polkit-0.115-11.el8_4.2

　　Ubuntu系列：

　　Ubuntu 20.04 LTS：policykit-1 - 0.105-26ubuntu1.2

　　Ubuntu 18.04 LTS：policykit-1 - 0.105-20ubuntu0.18.04.6

　　Ubuntu 16.04 ESM：policykit-1 - 0.105-14.1ubuntu0.5+esm1

　　Ubuntu 14.04 ESM：policykit-1 - 0.105-4ubuntu3.14.04.6+esm1

（4）编译运行提权exp

0x03 修复过程

（1）更新组件

yum update -y

（2）再次查看组件版本，发现已经升级

rpm -qa polkit

（3）但仍然可以提权

（4）使用临时修复措施

chmod 755 /usr/bin/pkexec

（5）再次尝试提权失败，修复成功

0x04 后记

今天本来还想同时复现一下今年的提权洞CVE-2022-0847，但这个漏洞对linux内核版本要求太高了(>5.8)，试着开了几个国内的云服务器都没有符合要求的版本。这样来看就对我的工作没有什么帮助，同时因为时间关系就先放弃了。

另外上周拖更，老规矩给大家hong'包，共150元100个先到先得。详见下图：

0x05 关于以后的拖更福利

VX公众号：《小黑的安全笔记》

上次过年的时候给大家发了新年hong'包，但是基本都被外挂给领走了，问了zfb的客服也没什么好的措施。小黑就自行查阅资料并分析了一下外挂的运作方式可能是下面两种其一：

1、爬虫自动搜索+大量zfb小号批量领取。

2、人工发口令到500人hong'包群，真人领取。

如果是第一种外挂的话，我今天的文章已经做了一些措施：比如避免出现关键词、领取方式放在图片里。应该能起到有效的反制效果。因为几百个小号不是一般人能有的，这种肯定是成规模的团队在搞，那自然不会为了我这一个小公众号而大动干戈的去升级爬虫做对抗。

但如果是第二种，那就比较过分了。因为对面是纯人工，我这些对抗机器的小手段就起不到什么效果。虽然研究了一下，发现可以用一个微信的小程序做对抗，但这会让领取步骤变麻烦一点，目前也不是很想弄。

所以决定先观察看看，如果以后还有这种情况的话就要考虑更换成小程序了。同时也呼吁大家，用自己小号或者给家人朋友一起领我都能理解，但希望别搞500人群这种东西，我不能接受，谢谢！

END.

---

喵，点个赞再走吧~

原文始发于微信公众号（小黑的安全笔记）：Linux Polkit 权限提升漏洞(CVE-2021-4034)