Privesc Lookup

Qu’est-ce qu’une élévation de privilèges ?

L’élévation de privilèges consiste à obtenir des droits supérieurs à ceux de l’accès initial, par exemple passer d’un compte limité à root ou administrateur. Elle peut exploiter une vulnérabilité ou une mauvaise configuration de sudo, de permissions SUID, de capabilities ou de services.

Sudo, SUID et capabilities : trois façons de prêter des privilèges

Sous Linux, un programme hérite normalement des droits de l’utilisateur qui le lance. Trois mécanismes lui en donnent davantage, et chacun transforme un programme ordinaire en porte d’entrée dès qu’il sait lancer une commande, lire ou écrire un fichier. sudo exécute la commande autorisée par /etc/sudoers sous l’identité du runas (root par défaut) : un pager, un éditeur ou un interpréteur autorisé ouvre alors un shell root. Les tags de la règle comptent : NOPASSWD dispense du mot de passe, SETENV laisse passer des variables d’environnement, NOEXEC empêche le programme d’en lancer d’autres.

Le bit SUID fixe l’UID effectif au propriétaire du fichier (root le plus souvent) pendant l’exécution, alors que l’UID réel reste le vôtre. bash, et dash depuis la version 0.5.11, détectent cet écart au démarrage et ramènent l’UID effectif à l’UID réel, sauf avec l’option -p. C’est pourquoi les variantes SUID de GTFOBins lancent /bin/sh -p, et pourquoi un programme qui passe par system() ne donne rien sur une distribution dont le shell abandonne les privilèges. Un binaire SUID s’appelle aussi par son chemin complet : la copie trouvée dans le PATH peut être une autre, sans le bit.

Les capabilities (capabilities(7)) découpent les pouvoirs de root en une quarantaine d’unités posées sur un fichier avec setcap. cap_setuid=ep sur un interpréteur suffit : os.setuid(0) puis un shell. cap_dac_read_search permet de lire n’importe quel fichier, cap_dac_override d’y écrire. Les lettres indiquent les ensembles concernés : e (effectif), p (permis), i (héritable).

Énumérer en mission

sudo -l liste les règles de l’utilisateur courant, avec les Defaults qui s’appliquent ; sudo -ll donne le même contenu en format long, que l’outil lit aussi. Les binaires SUID se trouvent avec find / -perm -4000 -type f 2>/dev/null (et -perm -2000 pour SGID), les capabilities avec getcap -r / 2>/dev/null. Collez les trois sorties à la suite : l’outil sépare les contextes ligne par ligne, met de côté les SUID livrés par la distribution et signale les binaires locaux, souvent plus intéressants que les binaires connus.

linPEAS (projet PEASS-ng) automatise cette énumération et bien davantage : tâches cron, fichiers modifiables, services, versions vulnérables. Il est utile en complément, au prix d’une exécution bruyante sur la cible. Vérifiez aussi la version de sudo (sudo -V) : CVE-2021-3156 (Baron Samedit) touche les versions 1.8.2 à 1.8.31p2 et 1.9.0 à 1.9.5p1, CVE-2019-14287 les versions antérieures à 1.8.28 avec un runas (ALL, !root), CVE-2023-22809 sudoedit de 1.8.0 à 1.9.12p1. Ces tests ne valent que dans le périmètre d’un test autorisé.

LD_PRELOAD, env_keep et SETENV

Par défaut, sudo vide l’environnement (env_reset) et retire les variables dangereuses. Quand les Defaults contiennent env_keep+=LD_PRELOAD, ou quand une règle porte le tag SETENV, l’utilisateur choisit une bibliothèque que l’éditeur de liens charge avant la commande autorisée, avec les droits de root. Peu importe alors la commande : son constructeur s’exécute avant elle. L’outil affiche la bibliothèque minimale correspondante quand il repère l’un de ces deux cas. LD_LIBRARY_PATH conservé permet une variante : remplacer une bibliothèque que la commande charge (ldd la liste) par une version compilée pour l’occasion.

LOLBAS et l’application allowlisting

Sous Windows, le projet LOLBAS recense les binaires, bibliothèques et scripts signés par Microsoft qui rendent service à un attaquant : télécharger (certutil, bitsadmin), exécuter du code par procuration (rundll32, regsvr32, mshta, technique ATT&CK T1218), compiler, encoder, extraire des identifiants. Leur intérêt tient à leur signature : une politique AppLocker ou WDAC qui autorise les binaires Microsoft les laisse passer, et l’EDR les voit tous les jours. Les catégories AWL Bypass et Execute couvrent ce contournement ; UAC Bypass, Dump et Credentials supposent déjà des droits élevés, que la colonne Privilèges précise. Collez la sortie de dir C:\Windows\System32 pour ne garder que ceux présents sur la machine.

Se défendre

• Écrivez des règles sudo minimales, avec des chemins complets, sans éditeur, pager, interpréteur ni joker dans les arguments. Préférez sudoedit pour modifier un fichier, ajoutez NOEXEC quand le programme n’a pas à en lancer d’autres, et ne conservez jamais LD_* dans env_keep.
• Montez /home, /tmp, /var/tmp et /dev/shm avec nosuid, et comparez régulièrement l’inventaire SUID à une référence : tout écart est à expliquer.
• Auditez les capabilities avec getcap -r / et retirez-les des interpréteurs (setcap -r). GTFOBins sert aussi de liste de détection : l’exécution d’un shell par find, less ou vim lancés par sudo se repère dans les journaux (log_output, auditd).
• Sous Windows, les fiches LOLBAS renvoient vers des règles Sigma, Elastic et Splunk, et vers les règles de blocage recommandées par Microsoft pour WDAC. Bloquez ce qui n’a pas d’usage légitime chez vous (mshta, cmstp, regsvr32 vers une URL) et surveillez le reste.