CVE-2024-48990 - استغلال تصعيد الامتيازات في Needrestart 3.7-3

نظرة عامة

يحتوي هذا المستودع على استغلال لثغرة CVE-2024-48990، وهي ثغرة تصعيد امتيازات في Needrestart 3.7-3. يستغل الاستغلال معالجة المدخلات غير السليمة لتنفيذ كود عشوائي بامتيازات مرتفعة.

الإصدارات المتأثرة

Needrestart 3.7-3 (تم اختباره على أنظمة مبنية على دبيان)
قد تكون الإصدارات الأخرى معرضة للخطر أيضًا

تفاصيل الاستغلال

يتكون الاستغلال من:

main.asm: شيلكود بلغة التجميع يُستخدم لتصعيد الامتيازات.
listener.sh: مستمع قائم على بايثون لمراقبة نجاح الاستغلال.
Makefile: يقوم بأتمتة تجميع وتنفيذ الاستغلال.

خطوات الاستغلال

1. استنساخ المستودع

git clone https://github.com/ten-ops/CVE-2024-48990.git
cd CVE-2024-48990

2. التجميع والتنفيذ

make

سيؤدي هذا إلى:

تجميع وربط الشيلكود.
إنشاء كائن مشترك خبيث (__init__.so) داخل /tmp/attacker/importlib/.
تنفيذ السكريبت listener.sh لمراقبة الهجوم.

3. تشغيل الاستغلال

لتشغيل الاستغلال، قم بتنفيذ الأمر التالي:

sudo needrestart -r a

هذا يجبر Needrestart على تحميل الكائن المشترك الخبيث، مما يؤدي إلى تصعيد الامتيازات.

4. التحقق من نجاح الاستغلال

إذا نجح الاستغلال، يجب أن ترى:

تم الحصول على صلاحيات الجذر، مسح الآثار ...

لماذا هذا الهجوم فعّال على خوادم أوبونتو متعددة المستخدمين

1. غالبًا ما يقوم المسؤولون بتنفيذ Needrestart عند تحديث أو تصحيح الخادم.

2. إذا قام المهاجم بحقن الحمولة قبل أن يقوم المسؤول بتشغيل needrestart، فإنه يحصل على صلاحيات الجذر دون وصول مباشر إلى sudo.

3. يُعرف هذا باسم "تصعيد الامتيازات بالانتظار" (هجوم وقت الاستخدام).

التخفيف

لتخفيف هذه الثغرة:

قم بترقية Needrestart إلى أحدث إصدار مصحح.
قيد تنفيذ البرامج الثنائية غير الموثوقة من خلال فرض سياسات sudo صارمة.
راقب /tmp/ و /var/tmp/ بحثًا عن أي نشاط مشبوه.

إخلاء مسؤولية

هذا الاستغلال هو لأغراض تعليمية وبحثية فقط. قد يؤدي الاستخدام غير المصرح به إلى انتهاك القوانين المعمول بها. المؤلف غير مسؤول عن أي إساءة استخدام.

المراجع

وسوم تحسين محركات البحث:

CVE-2024-48990، استغلال Needrestart، تصعيد الامتيازات في لينكس، ثغرة Needrestart 3.7-3، أمن لينكس، الاختراق الأخلاقي، الفريق الأحمر، استغلال الجذر، استغلال بلغة التجميع، أبحاث الأمن السيبراني

CVE-2024-48990_needrestart

الأكثر شعبية