CVE-2024-48990 (et CVE-2024-48992)

Pour déterminer si un processus Python (un processus qui exécute l'interpréteur Python) doit être redémarré, needrestart extrait la variable d'environnement PYTHONPATH du fichier /proc/pid/environ de ce processus (à la ligne 193), définit cette variable d'environnement si elle existe (à la ligne 196), et exécute Python ("$ptable->{exec}" à la ligne 203) avec un argument "-" pour lire un court script codé en dur depuis l'entrée standard (à la ligne 204) :

---

""" perl 135 sub files { 136 my $self = shift; 137 my $pid = shift; 138 my $cache = shift; 139 my $ptable = nr_ptable_pid($pid); ... 193 my %e = nr_parse_env($pid); 194 local %ENV; 195 if(exists($e{PYTHONPATH})) { 196 $ENV{PYTHONPATH} = $e{PYTHONPATH}; 197 } ... 203 my ($pyread, $pywrite) = nr_fork_pipe2($self->{debug}, $ptable->{exec}, '-'); 204 print $pywrite "import sys\nprint(sys.path)\n"; 205 close($pywrite); """

Malheureusement, si un processus Python appartient à un attaquant local, needrestart exécute Python (à la ligne 203) avec une variable d'environnement PYTHONPATH contrôlée par l'attaquant, ce qui permet à l'attaquant d'exécuter du code arbitraire en tant que root (même si le script Python codé en dur de needrestart à la ligne 204 n'est pas du tout contrôlé par l'attaquant). C'est CVE-2024-48990.