CVE-2024-48990 - Needrestart 3.7-3 Privilegieneskalations-Exploit

Übersicht

Dieses Repository enthält einen Exploit für CVE-2024-48990, eine Privilegieneskalations-Sicherheitslücke in Needrestart 3.7-3. Der Exploit nutzt eine unsachgemäße Eingabeverarbeitung aus, um beliebigen Code mit erhöhten Privilegien auszuführen.

Betroffene Versionen

• Needrestart 3.7-3 (Getestet auf Debian-basierten Systemen)
• Andere Versionen könnten ebenfalls verwundbar sein

Exploit-Details

Der Exploit besteht aus:

• main.asm: Assembly-Shellcode zur Privilegieneskalation.
• listener.sh: Python-basierter Listener zur Überwachung des Exploit-Erfolgs.
• Makefile: Automatisiert die Kompilierung und Ausführung des Exploits.

Ausführungsschritte

1. Repository klonen

git clone https://github.com/ten-ops/CVE-2024-48990.git
cd CVE-2024-48990

2. Kompilieren und ausführen

make

Dies führt folgende Schritte aus:

• Assemblierung und Linken des Shellcodes.
• Erstellen einer schädlichen Shared Library (__init__.so) in /tmp/attacker/importlib/.
• Ausführen des listener.sh-Skripts zur Überwachung des Angriffs.

3. Exploit auslösen

Um den Exploit auszulösen, führen Sie folgenden Befehl aus:

sudo needrestart -r a

Dies zwingt Needrestart dazu, die schädliche Shared Library zu laden, was zu einer Privilegieneskalation führt.

4. Erfolg des Exploits überprüfen

Bei Erfolg sollte folgende Ausgabe erscheinen:

Root obtained!, clear traces ...

Warum dieser Angriff auf Multi-User-Ubuntu-Servern effektiv ist

1. Needrestart wird oft von Administratoren beim Aktualisieren oder Patchen des Servers ausgeführt.

2. Wenn der Angreifer die Payload injiziert, bevor ein Admin needrestart ausführt, erlangt er Root-Rechte, ohne direkten sudo-Zugriff zu benötigen.

3. Dies wird als "Privilege Escalation by Waiting" (Time-of-Use-Angriff) bezeichnet.

Gegenmaßnahmen

Um diese Sicherheitslücke zu entschärfen:

• Needrestart aktualisieren auf die neueste gepatchte Version.
• Ausführung nicht vertrauenswürdiger Binärdateien einschränken durch strenge sudo-Richtlinien.
• /tmp/ und /var/tmp/ überwachen auf verdächtige Aktivitäten.

Haftungsausschluss

Dieser Exploit dient ausschließlich zu Bildungs- und Forschungszwecken. Eine unbefugte Nutzung kann gegen geltende Gesetze verstoßen. Der Autor übernimmt keine Verantwortung für Missbrauch.

Referenzen

• CVE Details
• Mitre

SEO-Optimierungs-Tags:

CVE-2024-48990, Needrestart-Exploit, Linux-Privilegieneskalation, Needrestart 3.7-3-Sicherheitslücke, Linux-Sicherheit, Ethisches Hacking, Red Teaming, Root-Exploit, Assembly-Exploit, Cybersicherheitsforschung