local-exploits

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-BCOLES-LOCAL-EXPLOITS
# Локальные эксплойты

Различные локальные эксплойты

## CVE-2020-8793

opensmptd-makemap-lpe — локальный эксплойт для получения root в Fedora 31 через OpenSMTPD makemap.

Код в основном взят из уведомления Qualys (2020-02-24) для CVE-2020-8793.

> opensmtpd: чтение произвольного файла непривилегированным атакующим может привести к раскрытию информации или повышению привилегий [fedora-all]

## CVE-2020-7247

root66 — локальный эксплойт для получения root в OpenBSD 6.6 / OpenSMTPD 6.6.

Код в основном взят из PoC-эксплойтов Qualys (2020-01-28) для CVE-2020-7247.

> OpenSMTPD 6.6, используемый в OpenBSD 6.6 и других продуктах, позволяет удалённым атакующим выполнять произвольные команды от имени root через специально сформированный адрес `MAIL FROM`.

## CVE-2019-19726

openbsd-dynamic-loader-chpass — локальный эксплойт для получения root в OpenBSD.

Код в основном взят из PoC-эксплойтов Qualys (2019-12-11) для CVE-2019-19726.

> OpenBSD до версии 6.6 включительно позволяет локальным пользователям повышать привилегии до root, поскольку проверку LD_LIBRARY_PATH в setuid-программах можно обойти, установив очень маленький лимит ресурса RLIMIT_DATA. При выполнении chpass или passwd (которые являются setuid root) функция _dl_setup_env в ld.so пытается удалить LD_LIBRARY_PATH из окружения, но терпит неудачу, если не может выделить память. Таким образом, атакующий может выполнить собственный библиотечный код от имени root.

## CVE-2019-19520

openbsd-authroot — локальный эксплойт для получения root в OpenBSD.

Код в основном взят из PoC-эксплойтов Qualys (2019-12-04) для CVE-2019-19520 / CVE-2019-19522.

> `xlock` в OpenBSD 6.6 позволяет локальным пользователям получить привилегии группы auth, задав переменную окружения `LIBGL_DRIVERS_PATH`, поскольку `xenocara/lib/mesa/src/loader/loader.c` некорректно обрабатывает `dlopen`. OpenBSD 6.6 в нестандартной конфигурации, где включена аутентификация S/Key или YubiKey, позволяет локальным пользователям стать root, используя членство в группе auth. Это происходит потому, что файл root может быть записан в `/etc/skey` или `/var/db/yubikey` и не обязан принадлежать root.

## CVE-2019-18862

GNU Mailutils 2.0 <= 3.7 maidag url — локальный эксплойт для получения root.

Основано на исследовании и PoC Майка Гуалтьери (2019-11-11) для CVE-2019-18862.

> maidag в GNU Mailutils до версии 3.8 устанавливается с setuid и позволяет локально повышать привилегии в режиме url.

## CVE-2019-12181

Локальный эксплойт для получения root в Serv-U FTP Server версиях до 15.1.7

Bash-вариант эксплойта Гая Левина для Serv-U FTP Server (2019-06-13) для CVE-2019-12181.

> Уязвимость повышения привилегий существует в SolarWinds Serv-U до версии 15.1.7 для Linux.

## CVE-2017-5899

S-nail — локальный эксплойт для получения root.

Обёртка над локальным эксплойтом s-nail-privget.c от @wapiflapi (2017-01-27) для CVE-2017-5899.

> Уязвимость обхода каталогов в setuid-хелпере root в S-nail (позже S-mailx) до версии 14.8.16 позволяет локальным пользователям записывать произвольные файлы и, как следствие, получать привилегии root через .. (точка-точка) в аргументе randstr.

## CVE-2017-4915

VMWare Workstation / Player — локальный эксплойт для получения root.

Основано на PoC Янна Хорна (2017-05-21) для CVE-2017-4915.

> VMware Workstation Pro/Player содержит уязвимость небезопасной загрузки библиотек через конфигурационные файлы звукового драйвера ALSA. Успешная эксплуатация этой проблемы может позволить непривилегированным пользователям хоста повысить свои привилегии до root на Linux-хосте.

## CVE-2011-2921

ktsuss <= 1.4 setuid — локальный эксплойт для получения root.

Обёртка над PoC Джона Лайтси (2011-08-13) для CVE-2011-2921.

Независимо переоткрыл CVE-2011-2921 во время аудита SparkyLinux.

> Исполняемый файл `ktsuss` установлен с setuid `root` и не сбрасывает привилегии перед выполнением указанных пользователем команд, что приводит к выполнению команд с привилегиями `root`.
> 
> SparkyLinux 2019.08 и более ранние версии по умолчанию включают уязвимую версию `ktsuss`.

## CVE-2002-0526

InterNetNews (inn) rnews — эксплойт раскрытия файлов.

Основано на уведомлении Пола "IhaQueR" Штарцетца (2002-04-11) для CVE-2002-0526.

Независимо переоткрыл CVE-2002-0526 на Debian 10 / Ubuntu 20.04 в 2020 (!)

> INN (InterNetNews) может позволить локальному атакующему получить конфиденциальную информацию. Двоичные файлы rnews не сбрасывают привилегии. Локальный атакующий может использовать эту уязвимость для получения несанкционированного доступа к конфиденциальным конфигурационным файлам.

## antix-mxlinux-sudo-persist-config-lpe

antiX / MX Linux — локальный эксплойт для получения root через конфигурацию sudo по умолчанию `persist-config`.

> Конфигурация `sudo` по умолчанию в antiX / MX Linux позволяет пользователям из группы `users` выполнять `/usr/local/bin/persist-config` от имени root без ввода пароля, что приводит к тривиальному повышению привилегий.
> 
> Выполнение через `sudo` требует привилегий группы `users`. По умолчанию первый созданный в системе пользователь является членом группы `users`.

## asan-suid-root

Локальный эксплойт для получения root через SUID-исполняемые файлы, скомпилированные с AddressSanitizer (ASan).

Основано на эксплойте 0x27 (2016-02-18) для PoC локального получения root через Address Sanitizer Сабольча Надя (2016-02-17).

> Использование переменных окружения, связанных с конфигурацией ASan, не ограничено при выполнении setuid-исполняемых файлов, собранных с ASan. Параметр `log_path` можно задать с помощью переменной окружения `ASAN_OPTIONS`, что позволяет перезаписывать произвольные файлы с привилегиями setuid-пользователя.

## emmabuntus-sudo-autologin-lightdm-exec-lpe

Emmabuntüs — локальный эксплойт для получения root через конфигурацию sudo по умолчанию `autologin_lightdm_exec.sh`.

> Конфигурация `sudo` по умолчанию в Emmabuntüs позволяет любому пользователю выполнять `/usr/bin/autologin_lightdm_exec.sh` от имени root без ввода пароля.
> 
> Скрипт `autologin_lightdm_exec.sh` вызывает `cp` с аргументами, указанными пользователем, что приводит к тривиальному повышению привилегий.

## lastore-daemon-root

lastore-daemon — локальный эксплойт для получения root.

Основано на эксплойте King's Way (2016-02-10).

> Конфигурация D-Bus для lastore-daemon в Deepin Linux 15.5 позволяет любому пользователю из группы sudo устанавливать произвольные пакеты без ввода пароля, что приводит к выполнению кода от имени root. По умолчанию первый созданный в системе пользователь является членом группы sudo.

## sudo-blkid-root

sudo-blkid-root — локальный эксплойт для получения root.

> Конфигурация `sudo` по умолчанию в некоторых дистрибутивах Linux позволяет низкопривилегированным пользователям выполнять `blkid` от имени root. Эта конфигурация небезопасна, так как blkid позволяет пользователям указывать флаг `-c` для записи данных кэша в файл, что позволяет перезаписывать произвольные файлы.

## sudo-chkrootkit-root

sudo-chkrootkit-root — локальный эксплойт для получения root.

> Иногда администраторы разрешают пользователям выполнять `chkrootkit` через `sudo`, поскольку `chkrootkit` требует привилегий root.
> 
> Это небезопасно, так как `chkrootkit` предлагает флаг `-p` для указания пути к доверенным системным утилитам (системные утилиты могут быть скомпрометированы), что позволяет выполнять произвольные исполняемые файлы с привилегиями root.