Eine kritische Schwachstelle in PolKit, die root-Zugriff in den meisten Linux-Distributionen ermöglicht.

Das Unternehmen Qualys hat eine Schwachstelle (CVE-2021-4034) im Systemkomponent Polkit (ehemals PolicyKit) entdeckt, die in Distributionen verwendet wird, um die Ausführung von Aktionen, die erhöhte Berechtigungen erfordern, durch unprivilegierte Benutzer zu organisieren. Die Schwachstelle ermöglicht es einem unprivilegierten lokalen Benutzer, seine Berechtigungen auf den root-Benutzer zu erhöhen und die volle Kontrolle über das System zu erlangen. Das Problem wurde unter dem Code-Namen PwnKit bekannt und ist bemerkenswert, weil ein funktionierender Exploit in den meisten Linux-Distributionen mit den Standardeinstellungen vorbereitet wurde.

Das Problem tritt in dem zu PolKit gehörenden Dienstprogramm pkexec auf, das mit dem SUID root-Flag geliefert wird und dafür gedacht ist, Befehle mit den Berechtigungen eines anderen Benutzers gemäß den festgelegten PolKit-Regeln auszuführen. Aufgrund der fehlerhaften Verarbeitung der an pkexec übergebenen Argumente der Befehlszeile konnte ein unprivilegierter Benutzer die Authentifizierung umgehen und seinen Code mit root-Rechten ausführen, unabhängig von den festgelegten Zugriffsrichtlinien. Für einen Angriff sind die Einstellungen und Einschränkungen in PolKit nicht relevant, es genügt, dass die ausführbare Datei des pkexec-Dienstprogramms mit dem SUID root-Flag versehen ist.

Pkexec überprüft die Gültigkeit des Zählers der Befehlszeilenargumente (argc), die beim Start des Prozesses übergeben werden, nicht. Die Entwickler von pkexec gingen davon aus, dass der erste Eintrag im Array argv immer den Namen des Prozesses (pkexec) enthält und der zweite entweder NULL oder den Namen des über pkexec gestarteten Befehls. Da der Argumentezähler nicht auf das tatsächliche Inhalt des Arrays überprüft wurde und angenommen wurde, dass er immer größer als 1 ist, führte die Übergabe eines leeren argv-Arrays an den Prozess, was die Funktion execve in Linux zulässt, dazu, dass pkexec NULL als erstes Argument (Prozessname) interpretierte und den nachfolgend außerhalb des Puffers liegenden Speicher als folgenden Inhalt des Arrays. |———+———+——+————|———+———+——+————| | argv[0] | argv[1] | … | argv[argc] | envp[0] | envp[1] | … | envp[envc] | |—-|—-+—-|—-+——+——|——|—-|—-+—-|—-+——+——|——| V V V V V V «programm» «-option» NULL «wert» «PATH=name» NULL

Das Problem ist, dass direkt nach dem Array argv im Speicher das Array envp gespeichert ist, das Umgebungsvariablen enthält. Daher extrahiert pkexec bei einem leeren Array argv die Informationen zum mit erhöhten Rechten ausgeführten Befehl aus dem ersten Element des Arrays mit Umgebungsvariablen (argv[1] wird identisch mit envp[0]), dessen Inhalt der Angreifer kontrollieren kann.

Nachdem pkexec den Wert von argv[1] erhalten hat, versucht es, basierend auf den Dateipfaden in PATH den vollständigen Pfad zur ausführbaren Datei zu bestimmen und den Zeiger auf die Zeichenfolge mit dem vollständigen Pfad zurück in argv[1] zu schreiben, was zur Überschreibung des Wertes der ersten Umgebungsvariablen führt, da argv[1] identisch mit envp[0] ist. Durch Manipulation des Namens der ersten Umgebungsvariablen kann der Angreifer eine andere Umgebungsvariable in pkexec einfügen, beispielsweise die Umgebungsvariable 'LD_PRELOAD', die in suid-Programmen nicht zulässig ist, und somit das Laden seiner eigenen Shared Library im Prozess organisieren.

Im funktionierenden Exploit wird die Variable GCONV_PATH eingefügt, die verwendet wird, um den Pfad zur Zeichenkodierungsbibliothek zu bestimmen, die dynamisch beim Aufruf der Funktion g_printerr() geladen wird, in deren Code iconv_open() verwendet wird. Indem der Pfad in GCONV_PATH überschrieben wird, kann der Angreifer erreichen, dass nicht die Standardbibliothek iconv, sondern seine eigene Bibliothek geladen wird, deren Handler während der Fehlermeldungsausgabe ausgeführt werden, während pkexec noch mit root-Rechten läuft und vor der Berechtigungsprüfung.

Es wird festgestellt, dass, obwohl das Problem durch einen Speicherschaden verursacht wird, es zuverlässig und reproduzierbar unabhängig von der verwendeten Hardware-Architektur ausgebeutet werden kann. Der vorbereitete Exploit wurde erfolgreich unter Ubuntu, Debian, Fedora und CentOS getestet, kann aber auch in anderen Distributionen verwendet werden. Der originale Exploit ist derzeit nicht öffentlich verfügbar, was darauf hinweist, dass er trivial ist und leicht von anderen Forschern reproduziert werden kann; daher ist es wichtig, in Mehrbenutzersystemen so schnell wie möglich das Update mit dem Patch zu installieren. Polkit ist auch für BSD-Systeme und Solaris verfügbar, aber die Möglichkeit einer Ausnutzung dort wurde nicht untersucht. Bekannt ist nur, dass der Angriff in OpenBSD nicht durchgeführt werden kann, da der OpenBSD-Kernel die Übertragung eines Nullwerts für argc beim Aufruf von execve() nicht zulässt.

Das Problem besteht seit Mai 2009, seit der Einführung des Befehls pkexec. Der Fix für die Schwachstelle in PolKit ist derzeit als Patch verfügbar (ein korrigierendes Release wurde nicht erstellt), aber da die Entwickler der Distributionen im Voraus über das Problem informiert wurden, haben die meisten Distributionen ein Update gleichzeitig mit der Offenlegung der Schwachstelle veröffentlicht. Das Problem wurde in RHEL 6/7/8, Debian, Ubuntu, openSUSE, SUSE, Fedora, ALT Linux, ROSA, Gentoo, Void Linux, Arch Linux und Manjaro behoben. Als vorübergehende Maßnahme zur Blockierung der Schwachstelle kann das SUID-Root-Flag von dem Programm /usr/bin/pkexec entfernt werden („chmod 0755 /usr/bin/pkexec“).

Quelle: opennet.ru