CVE-2024-48990 - Exploit de escalada de privilegios en Needrestart 3.7-3

Resumen

Este repositorio contiene un exploit para CVE-2024-48990, una vulnerabilidad de escalada de privilegios en Needrestart 3.7-3. El exploit aprovecha un manejo inadecuado de la entrada para ejecutar código arbitrario con privilegios elevados.

Versiones afectadas

• Needrestart 3.7-3 (probado en sistemas basados en Debian)
• Otras versiones también pueden ser vulnerables

Detalles del exploit

El exploit consta de:

• main.asm: Shellcode en ensamblador utilizado para la escalada de privilegios.
• listener.sh: Listener basado en Python para monitorear el éxito de la explotación.
• Makefile: Automatiza la compilación y ejecución del exploit.

Pasos de explotación

1. Clonar el repositorio

git clone https://github.com/ten-ops/CVE-2024-48990.git
cd CVE-2024-48990

2. Compilar y ejecutar

make

Esto:

• Ensamblará y enlazará el shellcode.
• Creará un objeto compartido malicioso (__init__.so) dentro de /tmp/attacker/importlib/.
• Ejecutará el script listener.sh para monitorear el ataque.

3. Activar el exploit

Para activar el exploit, ejecute el siguiente comando:

sudo needrestart -r a

Esto fuerza a Needrestart a cargar el objeto compartido malicioso, lo que resulta en una escalada de privilegios.

4. Verificar el éxito de la explotación

Si tiene éxito, debería ver:

Root obtained!, clear traces ...

Por qué este ataque es efectivo en servidores Ubuntu multiusuario

1. Needrestart suele ser ejecutado por los administradores al actualizar o parchear el servidor.

2. Si el atacante inyecta el payload antes de que un administrador ejecute needrestart, obtiene acceso root sin acceso sudo directo.

3. Esto se conoce como "escalada de privilegios por espera" (ataque de tipo time-of-use).

Mitigación

Para mitigar esta vulnerabilidad:

• Actualice Needrestart a la versión parcheada más reciente.
• Restrinja la ejecución de binarios no confiables aplicando políticas sudo estrictas.
• Monitoree /tmp/ y /var/tmp/ en busca de actividad sospechosa.

Aviso legal

Este exploit es solo para fines educativos y de investigación. El uso no autorizado puede violar las leyes aplicables. El autor no es responsable de ningún uso indebido.

Referencias

• Detalles de CVE
• Mitre

Etiquetas de optimización SEO:

CVE-2024-48990, Exploit de Needrestart, Escalada de privilegios en Linux, Vulnerabilidad Needrestart 3.7-3, Seguridad en Linux, Hacking ético, Red Teaming, Exploit root, Exploit en ensamblador, Investigación en ciberseguridad