polkit是默认安装在很多Linux发行版上的系统服务。CVE-2021-3560是polkit中潜伏了7年之久的漏洞，于2021年6月份公布。该漏洞能使非特权本地用户获得系统root权限。CVE-2021-3560漏洞于polkit 0.113版引入，但是很多流行的Linux发行版直到最近才引入包含漏洞的版本。

漏洞说明

为了帮助解释该漏洞，首先对dbus-send命令执行过程进行说明。

虚线上方的两个进程dbus-send和Authentication Agent是非特权用户进程。线下的那些是特权系统进程。中间是dbus-daemon，它处理所有的通信：其他四个进程通过发送 D-Bus 消息相互通信。下面是通过dbus-send创建新用户的事件顺序：

dbus-send要求accounts-daemon创建一个新用户。
accounts-daemon从dbus-send接收 D-Bus 消息。该消息包含唯一的连接名称，我们假设它是“:1.96”。此名称被dbus-daemon附加到消息中，且不能被伪造。
accounts-daemon向polkit询问连接:1.96 是否被授权以创建新用户。
polkit向dbus-daemon询问连接:1.96的 UID。
如果连接:1.96 的 UID 为“0”，则 polkit 立即授权该请求。否则，它会向身份验证代理发送允许授权请求的管理员用户列表。
Authentication Agent打开一个对话框以从用户那里获取密码。
Authentication Agent将密码发送给 polkit。
polkit 将“是”回复发送回accounts-daemon。
accounts-daemon 创建新的用户帐户。

CVE-2021-3560漏洞位于上述事件序列的第四步。如果 polkit 向dbus-daemon请求总线:1.96 的 UID，但总线:1.96 不再存在，会发生什么？dbus-daemon正确处理这种情况并返回错误。但事实上 polkit 没有正确处理该错误，它没有拒绝请求，而是将请求视为来自 UID 0 的进程。换句话说，它立即授权请求。向dbus-demon请求总线UID的函数为polkit_system_bus_name_get_creds_sync。

利用过程

操作系统：Ubuntu20.04

该漏洞非常容易被利用，它需要的只是标准的工具，比如终端的几个命令bash、kill和dbus-send，本节中描述的PoC依赖两个软件包accountsservice和gnome-control-center。在 Ubuntu等桌面图形系统上，这两个软件包通常默认安装。该漏洞与accountsservice或gnome-control-center没有任何关系，它们只是 polkit 客户端，同时是方便利用的载体。

为了避免重复触发身份验证对话框，建议从 SSH 会话运行命令：