PwnKit (CVE-2021-4034), neredeyse her Linux dağıtımında varsayılan olarak bulunan Polkit paketinin pkexec aracındaki bir bellek işleme hatasını sömürerek, sıradan bir yerel kullanıcının root yetkisine yükselmesine olanak tanıyan bir zafiyettir. 2022 başında açıklandığında, on yılı aşkın süredir kod içinde bulunan bir hataya işaret ediyordu.

Sisteme çoktan girmiş sıradan bir kullanıcıyı, tek bir yerel araç üzerinden root’a çeviren Polkit hatasının adıdır PwnKit.

Hatanın Kökeni

pkexec, kullanıcıların denetimli biçimde başka bir kimlikle komut çalıştırmasını sağlayan SUID-root bir programdır. Zafiyetin özü, programın argüman sayısı sıfır olduğunda argüman dizisini yanlış ele almasıdır. Bu durumda pkexec, bellekte dizinin sınırının ötesindeki veriyi okur ve saldırganın kontrol ettiği bir ortam değişkenini yürütme yoluna dahil eder.

Saldırgan, dikkatle hazırlanmış bir ortam değişkeniyle pkexec’i çağırdığında, program root yetkisiyle saldırganın belirlediği paylaşımlı kütüphaneyi yükler. Sonuç, birkaç satırlık bir sömürü koduyla elde edilen güvenilir bir root kabuğudur. Hata bellek bozulmasına değil mantık kusuruna dayandığından, sömürü son derece kararlı çalışır ve mimariden bağımsızdır.

Neden Ciddiye Alınmalı?

PwnKit tek başına uzaktan erişim vermez; sömürü için sistemde halihazırda yerel bir hesabın bulunması gerekir. Ancak saldırganlar çoğu zaman bir web uygulaması ya da başka bir açık üzerinden düşük yetkili bir kabuk elde ettikten sonra takılıp kalır; işte bu noktada PwnKit gibi bir yetki yükseltme zafiyeti, sınırlı erişimi tam sistem kontrolüne dönüştürür.

Zafiyetin yaygınlığı, Polkit’in masaüstünden sunucuya kadar hemen her Linux kurulumunda bulunmasından kaynaklanır. Bu genişlik, tek bir sömürü kodunun çok farklı ortamlarda çalışabilmesi anlamına gelir ve saldırganlar için düşük maliyetli, yüksek getirili bir seçenek oluşturur.

Kapatma ve Tespit

Kalıcı çözüm, dağıtımın yayımladığı Polkit güncellemesini uygulamaktır; düzenli bir yama yönetimi pratiği bu tür eski ama etkili hataları temizler. Yama uygulanamıyorsa geçici önlem olarak pkexec’in SUID bitini kaldırmak sömürüyü etkisiz kılar.

Tespit tarafında, pkexec’in sıfır argümanla veya olağandışı ortam değişkenleriyle çağrılması güçlü bir göstergedir; bu davranış Linux denetim günlükleri üzerinden yakalanabilir. Ayrıcalıklı komut çalıştırmayı sıkı kurallara bağlamak ve ayrıcalıklı erişim yönetimi ile hangi hesabın ne zaman yükseltme yapabildiğini denetim altına almak, sömürü sonrası hareket alanını daraltır. Böyle bir yükseltmenin gerçekleşip gerçekleşmediğini adli olarak doğrulamak için Privia Security olay inceleme ve olay müdahalesi desteği alınabilir.