Privesc-need-restart-2024-48990

Erklärung des Exploits (CVE-2024-48990 - Pure Python)

Dieses Skript nutzt die Schwachstelle CVE-2024-48990 im Linux-Dienstprogramm needrestart aus, indem es den Bibliothekspfad kapert (PYTHONPATH-Hijacking). Anders als der ursprüngliche Vektor verwendet diese Methode ausschließlich Python, sodass die Anforderung, Compiler wie gcc auf dem Zielrechner installiert zu haben, umgangen wird.

Schrittweise Funktionsweise

1. Verzeichnisstruktur: Es wird das Verzeichnis /tmp/malicious/importlib erstellt. Dies imitiert die Struktur der Python-Standardbibliothek.
2. Bösartige Nutzlast (importlib/__init__.py): Enthält den Code, der mit erhöhten Privilegien ausgeführt wird. Beim Laden prüft er, ob der aktuelle Benutzer root (UID 0) ist. Wenn ja, kopiert er die Binärdatei /bin/bash nach /tmp/poc und setzt das SUID-Bit (chmod 4755). Dadurch wird eine Hintertür geschaffen, die es jedem Benutzer ermöglicht, die Berechtigungen zu erweitern.
3. Köderprozess (e.py): Es handelt sich um ein harmloses Skript, das in einer Endlosschleife läuft. Es erfüllt zwei Funktionen:

• Einen laufenden Python-Interpreter im System zu halten, damit needrestart ihn abfangen kann.
• Das Verzeichnis /tmp ständig zu überwachen. Sobald die Datei /tmp/poc erstellt wird, führt es diese automatisch mit der Flag -p aus (um die Root-Rechte nicht zu verlieren) und liefert eine interaktive Shell.

4. Kapern von Umgebungsvariablen: Wenn wir den Köder mit PYTHONPATH="$PWD" python3 e.py ausführen, verändern wir das Verhalten von Python. Wir erzwingen, dass bei jedem Import zuerst in /tmp/malicious gesucht wird, bevor die legitimen Systempfade durchsucht werden.
5. Aktivierung und Privilegieneskalation (needrestart): Wenn needrestart mit Administratorrechten ausgeführt wird (entweder manuell oder durch eine geplante Systemaufgabe), scannt es die aktiven Prozesse. Bei unserem e.py extrahiert es dessen Umgebungsvariablen und startet einen eigenen Python-Prozess zur Analyse. Durch das Erben des bösartigen PYTHONPATH importiert der Root-Prozess von needrestart unsere gefälschte Bibliothek importlib und führt die Nutzlast aus, was die vollständige Kontrolle über den Rechner gewährt.