CVE-2024-48990 (und CVE-2024-48992)

Um festzustellen, ob ein Python-Prozess (ein Prozess, der den Python-Interpreter ausführt) neu gestartet werden muss, extrahiert needrestart die Umgebungsvariable PYTHONPATH aus der /proc/pid/environ-Datei dieses Prozesses (in Zeile 193), setzt diese Umgebungsvariable, falls vorhanden (in Zeile 196), und führt Python ("$ptable->{exec}" in Zeile 203) mit einem Argument "-" aus, um ein kurzes, fest codiertes Skript von stdin zu lesen (in Zeile 204):

---

""" perl 135 sub files { 136 my $self = shift; 137 my $pid = shift; 138 my $cache = shift; 139 my $ptable = nr_ptable_pid($pid); ... 193 my %e = nr_parse_env($pid); 194 local %ENV; 195 if(exists($e{PYTHONPATH})) { 196 $ENV{PYTHONPATH} = $e{PYTHONPATH}; 197 } ... 203 my ($pyread, $pywrite) = nr_fork_pipe2($self->{debug}, $ptable->{exec}, '-'); 204 print $pywrite "import sys\nprint(sys.path)\n"; 205 close($pywrite); """

Leider führt needrestart, wenn ein Python-Prozess einem lokalen Angreifer gehört, Python (in Zeile 203) mit einer vom Angreifer kontrollierten PYTHONPATH-Umgebungsvariable aus, was dem Angreifer erlaubt, beliebigen Code als root auszuführen (obwohl das fest codierte Python-Skript von needrestart in Zeile 204 überhaupt nicht vom Angreifer kontrolliert wird). Dies ist CVE-2024-48990.