CVE-2024-48990 - Exploit d'élévation de privilèges Needrestart 3.7-3

Présentation

Ce dépôt contient un exploit pour CVE-2024-48990, une vulnérabilité d'élévation de privilèges dans Needrestart 3.7-3. L'exploit exploite une gestion incorrecte des entrées pour exécuter du code arbitraire avec des privilèges élevés.

Versions concernées

• Needrestart 3.7-3 (Testé sur systèmes basés sur Debian)
• D'autres versions peuvent également être vulnérables

Détails de l'exploit

L'exploit se compose de :

• main.asm : Shellcode en assembleur utilisé pour l'élévation de privilèges.
• listener.sh : Écouteur basé sur Python pour surveiller le succès de l'exploitation.
• Makefile : Automatise la compilation et l'exécution de l'exploit.

Étapes d'exploitation

1. Cloner le dépôt

git clone https://github.com/ten-ops/CVE-2024-48990.git
cd CVE-2024-48990

2. Compiler et exécuter

make

Cela va :

• Assembler et lier le shellcode.
• Créer un objet partagé malveillant (__init__.so) dans /tmp/attacker/importlib/.
• Exécuter le script listener.sh pour surveiller l'attaque.

3. Déclencher l'exploit

Pour déclencher l'exploit, exécutez la commande suivante :

sudo needrestart -r a

Cela force Needrestart à charger l'objet partagé malveillant, entraînant une élévation de privilèges.

4. Vérifier le succès de l'exploitation

En cas de succès, vous devriez voir :

Root obtained!, clear traces ...

Pourquoi cette attaque est efficace sur les serveurs Ubuntu multi-utilisateurs

1. Needrestart est souvent exécuté par les administrateurs lors de la mise à jour ou du correctif du serveur.

2. Si l'attaquant injecte la charge utile avant qu'un administrateur n'exécute needrestart, il obtient les droits root sans accès sudo direct.

3. C'est ce qu'on appelle une « élévation de privilèges par attente » (attaque temporelle).

Atténuation

Pour atténuer cette vulnérabilité :

• Mettre à jour Needrestart vers la dernière version corrigée.
• Restreindre l'exécution de binaires non fiables en appliquant des politiques sudo strictes.
• Surveiller /tmp/ et /var/tmp/ pour détecter toute activité suspecte.

Avertissement

Cet exploit est à des fins éducatives et de recherche uniquement. Toute utilisation non autorisée peut violer les lois applicables. L'auteur n'est pas responsable de toute mauvaise utilisation.

Références

• Détails CVE
• Mitre

Balises d'optimisation SEO :

CVE-2024-48990, Exploit Needrestart, Élévation de privilèges Linux, Vulnérabilité Needrestart 3.7-3, Sécurité Linux, Hacking éthique, Red Teaming, Exploit root, Exploit en assembleur, Recherche en cybersécurité