PoC für CVE-2024-48990

CVE-2024-48990 ist eine lokale Privilegienausweitungs-Schwachstelle, die im Dienstprogramm needrestart gefunden wurde. Die Schwachstelle besteht in Versionen vor 3.8. Der Dienst, der während Ereignissen wie Paketinstallationen als root läuft, scannt unsicher alle laufenden Prozesse. Wenn er einen Python-Prozess findet, liest und vertraut er der Umgebungsvariablen PYTHONPATH aus diesem Prozess.

Ein unprivilegierter lokaler Angreifer kann den PYTHONPATH auf einem "Lockvogel"-Prozess kapern. Wenn needrestart ausgeführt wird, findet es diesen Prozess, übernimmt den bösartigen Pfad und führt dann den Code des Angreifers mit root-Rechten aus.

Verwendung

1. Klonen Sie das Repository in ein vom Angreifer kontrolliertes Verzeichnis:

git clone https://github.com/Mr-DJ/CVE-2024-48990
cd CVE-2024-48990

2. Machen Sie das Exploit-Skript ausführbar:

chmod +x exploit.sh

3. Führen Sie das Exploit aus. Es stellt die Falle und wartet, bis die SUID-Shell erkannt wird (die erstellt wird, wenn needrestart von root ausgeführt wird), und öffnet eine root-Shell.

Gegenmaßnahmen

• Patch: Aktualisieren Sie needrestart auf Version 3.8 oder eine gepatchte Version Ihrer Distribution
• Härten von Mounts: Dieses Exploit kann auch durch das Einhängen von benutzerschreibbaren Verzeichnissen mit den Optionen nosuid und noexec gemildert werden.

Referenzen

• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-48990

• Ursprüngliche Meldung: Qualys - LPEs in needrestart

• NIST: NVD-CVE-2024-48990