CVE-2024-48990 (وCVE-2024-48992)

لتحديد ما إذا كانت عملية بايثون (عملية تشغّل مفسّر بايثون) بحاجة إلى إعادة التشغيل، يستخرج needrestart متغيّر البيئة PYTHONPATH من ملف /proc/pid/environ الخاص بهذه العملية (في السطر 193)، ويعيّن متغيّر البيئة هذا إذا كان موجوداً (في السطر 196)، وينفّذ بايثون ("$ptable->{exec}" في السطر 203) مع وسيط "-" لقراءة سكربت قصير مكتوب بشكل ثابت من الإدخال القياسي stdin (في السطر 204):

---

""" perl 135 sub files { 136 my $self = shift; 137 my $pid = shift; 138 my $cache = shift; 139 my $ptable = nr_ptable_pid($pid); ... 193 my %e = nr_parse_env($pid); 194 local %ENV; 195 if(exists($e{PYTHONPATH})) { 196 $ENV{PYTHONPATH} = $e{PYTHONPATH}; 197 } ... 203 my ($pyread, $pywrite) = nr_fork_pipe2($self->{debug}, $ptable->{exec}, '-'); 204 print $pywrite "import sys\nprint(sys.path)\n"; 205 close($pywrite); """

لسوء الحظ، إذا كانت عملية بايثون تابعة لمهاجم محلّي، فإن needrestart ينفّذ بايثون (في السطر 203) مع متغيّر بيئة PYTHONPATH يتحكّم فيه المهاجم، مما يسمح للمهاجم بتنفيذ كود عشوائي بصلاحيات الجذر (على الرغم من أن سكربت بايثون المكتوب بشكل ثابت في needrestart عند السطر 204 ليس خاضعاً لسيطرة المهاجم إطلاقاً). هذا هو CVE-2024-48990.