CVE-2024-48990-PoC

ما هو needrestart وكيف يعمل؟

Needrestart هي أداة مساعدة مستخدمة على نطاق واسع في أنظمة لينكس (افتراضية في العديد من إصدارات أوبونتو) تتحقق بعد تحديث البرامج مما إذا كانت إحدى الخدمات أو النظام نفسه بحاجة إلى إعادة التشغيل. من خلال تحليل العمليات الجارية، تحدد ما إذا كانت تستخدم مكتبات محدّثة أو إذا كانت بحاجة إلى إعادة التشغيل حتى تدخل التغييرات حيز التنفيذ.

كيف تعمل الثغرة؟

عندما يكتشف needrestart عملية تشغيل مترجم بايثون، فإنه يقرأ متغير البيئة PYTHONPATH المرتبط بتلك العملية من /proc/[pid]/environ ثم يضبطه قبل تشغيل مترجم بايثون الخاص به للتحليل.

إذا كانت العملية الأصلية مملوكة لمهاجم محلي، يمكن للمهاجم التلاعب بـ PYTHONPATH ليشير إلى مكتبة ضارة.

ونتيجة لذلك، عندما يشغّل needrestart مترجم بايثون بصلاحيات الجذر و PYTHONPATH المُتلاعب به، فإنه ينفذ في النهاية كود المهاجم، مما يؤدي إلى رفع الصلاحية إلى الجذر.

الإصدارات المتأثرة

تؤثر هذه الثغرة فقط على إصدارات needrestart السابقة للإصدار 3.8. يتضمن الإصدار 3.8 والإصدارات الأحدث إصلاحًا يعمل على تنقية متغيرات البيئة مثل PYTHONPATH بشكل صحيح قبل استدعاء مترجم بايثون، مما يمنع رفع الصلاحية من خلال التلاعب الخبيث بمتغيرات البيئة.

استخدام الإثبات العملي (PoC)

1. استنساخ المستودع.

2. في ملف runner.sh، قم بتعديل عنوان IP المستخدم لجلب الملف الثنائي المُجمّع بحيث يشير إلى جهازك الخاص.

3. على جهاز المهاجم، امنح أذونات التنفيذ وشغّل binary.sh.

4. قم بإعداد خادم HTTP:

$ python3 -m http.server

5. على جهاز الضحية، انسخ runner.sh، وامنحه أذونات التنفيذ، وقم بتشغيله. في وحدة تحكم أخرى، شغّل needrestart بصلاحيات الجذر. عند هذه النقطة، يجب أن تحصل على شل جذر في وحدة التحكم التي نُفّذ فيها الإثبات العملي.