إثبات المفهوم لـ CVE-2024-48990

CVE-2024-48990 هي ثغرة تصعيد صلاحيات محلية وجدت في أداة needrestart. الثغرة موجودة في الإصدارات الأقدم من 3.8. الخدمة، التي تعمل كجذر أثناء أحداث مثل تثبيت الحزم، تقوم بمسح جميع العمليات الجارية بطريقة غير آمنة. عندما تجد عملية بايثون، تقرأ وتثق في متغير البيئة PYTHONPATH من تلك العملية.

يمكن لمهاجم محلي غير مميز اختطاف PYTHONPATH في عملية "إغراء". عندما يتم تشغيل needrestart، سيجدها ويتبنى المسار الخبيث، ثم ينفذ كود المهاجم بصلاحيات الجذر.

الاستخدام

1. استنسخ المستودع في دليل يتحكم به المهاجم:

git clone https://github.com/Mr-DJ/CVE-2024-48990
cd CVE-2024-48990

2. اجعل سكريبت الاستغلال قابلًا للتنفيذ:

chmod +x exploit.sh

3. شغل الاستغلال. سيضع الفخ وينتظر حتى يتم اكتشاف شل SUID (يتم إنشاؤه عند تنفيذ needrestart بواسطة الجذر)، ثم يظهر شل جذر.

التخفيف

• التصحيح: قم بتحديث needrestart إلى الإصدار 3.8 أو إصدار مصحح من توزيعتك
• تشديد التثبيتات: يمكن أيضًا تخفيف هذا الاستغلال عن طريق تثبيت الدلائل القابلة للكتابة من قبل المستخدم مع خيارات nosuid و noexec

المراجع

• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-48990

• الإعلان الأصلي: Qualys - LPEs in needrestart

• NIST: NVD-CVE-2024-48990