CVE-2026-53694 : Élévation de privilèges locale dans NoMachine via injection d'arguments

Aperçu

Ce dépôt contient l'analyse et la preuve de concept (PoC) de CVE-2026-53694, une vulnérabilité d'élévation de privilèges locale (LPE) dans NoMachine pour Linux.

En raison d'une neutralisation incorrecte des délimiteurs d'arguments dans le script nxchmod.sh, un utilisateur local non privilégié peut injecter des arguments dans une commande système exécutée en tant que root. En combinant cette injection d'arguments avec un lien symbolique, un attaquant peut écraser des fichiers système critiques (tels que /etc/passwd) et élever ses privilèges jusqu'à root.

Cette vulnérabilité a été entièrement corrigée par l'éditeur.

Le processus de découverte

La découverte de cette vulnérabilité a été un processus fait d'essais, d'erreurs et d'une révélation tard dans la nuit. Voici comment la découverte s'est déroulée :

Observation de la cible : J'ai remarqué que le script /usr/NX/scripts/restricted/nxchmod.sh était exécuté périodiquement par l'utilisateur root pour gérer les permissions dans des répertoires spécifiques.
Idée initiale (l'impasse) : J'ai vu que le script appliquait chmod a+rw aux fichiers. J'ai pensé : Si je contrôle la destination, puis-je utiliser un lien symbolique pour rendre /etc/passwd accessible en écriture ? J'ai testé un lien symbolique standard (ln -s /etc/passwd /tmp/asdf), mais cela a échoué. Le sticky bit de Linux sur des répertoires comme /tmp empêche l'utilisateur root de suivre aveuglément un lien symbolique créé par un autre utilisateur.
La percée : En examinant plus tard l'exécution du script, j'ai remarqué comment la commande était construite : ${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}. Le script prenait le nom de fichier littéral et le passait directement à chmod.
Injection de commande via le nom de fichier : J'ai réalisé que je pouvais créer un fichier dont le nom contenait des espaces et des options. J'ai créé un fichier nommé X1234 -R -L. Lorsque le script s'est exécuté, la commande chmod a interprété cela comme des arguments plutôt que comme un seul chemin de fichier.
Contournement du sticky bit : En injectant les options -L (suivre les liens symboliques) et -R (récursif) dans la commande chmod via le nom de fichier, j'ai forcé le binaire chmod lui-même à résoudre et suivre le lien symbolique que j'avais créé dans le répertoire, contournant complètement la protection du sticky bit.
Obtention de la LPE : Une fois /etc/passwd rendu accessible en écriture (a+rw), je pouvais simplement ajouter un nouvel utilisateur root au fichier et faire su dessus.

Analyse technique

La vulnérabilité provient de la façon dont NoMachine gère les permissions pour les sockets X11/Wayland. Le script nxchmod.sh est lancé par le démon nxserver.bin s'exécutant en tant que root.

L'exécution vulnérable ressemble à ceci :

# /usr/NX/scripts/restricted/nxchmod.sh
${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}

Si un attaquant crée une structure de répertoire et un fichier nommé X1234 -R -L, la commande résultante exécutée par root devient : /bin/chmod a+rw /tmp/.X11-unix/X1234 -R -L

Lorsqu'un lien symbolique pointant vers /etc/passwd est placé à l'intérieur du répertoire X1234, les arguments injectés -R et -L forcent chmod à suivre récursivement le lien symbolique et à accorder des permissions globales de lecture/écriture au fichier cible.

Conditions requises pour l'exploitation

Pour que cet exploit fonctionne, le système cible doit remplir les conditions suivantes :

Le système d'exploitation doit utiliser Wayland (et non X11).
Xwayland doit être actif.
Une session graphique doit être en cours d'exécution (l'écran de connexion suffit).

Preuve de concept

Vous pouvez reproduire cette vulnérabilité soit manuellement à l'aide de commandes shell, soit automatiquement à l'aide du script Python fourni.

Méthode 1 : Exécution manuelle (Shell)

Naviguez vers /tmp/.X11-unix/ et exécutez les commandes suivantes pour créer la structure de répertoire malveillante.

cd /tmp/.X11-unix/

# 1. Exploitation setup
touch "X1234 -R -L"
mkdir X1234
ln -s /etc/passwd /tmp/.X11-unix/X1234/pwn

# Wait for nxchmod.sh to execute (can take up to 60 seconds).
# Verify the permissions of /etc/passwd have changed to -rw-rw-rw-
# You can now edit /etc/passwd to add a root user.

Une fois que vous avez vérifié la vulnérabilité et élevé les privilèges, exécutez les commandes de nettoyage suivantes pour restaurer la stabilité du système et supprimer les artefacts :

# 2. Cleanup
rm "X1234 -R -L"
unlink X1234/pwn
rmdir X1234
chmod 644 /etc/passwd

Méthode 2 : Exploit automatisé

Un exploit entièrement automatisé est fourni dans poc.py. Ce script vérifie les prérequis Wayland, met en place le lien symbolique, attend le cycle d'exécution de nxchmod.sh et injecte un nouvel utilisateur root (gg) dans /etc/passwd

Pour exécuter l'exploit :

python3 poc.py

Remédiation

Cette vulnérabilité a été corrigée par NoMachine. Les utilisateurs doivent mettre à jour vers les versions suivantes ou ultérieures :

NoMachine 9.5.7
NoMachine 8.23.2

Chronologie

2026-04-20 : Vulnérabilité signalée à l'éditeur.
2026-04-23 : L'éditeur a confirmé la vulnérabilité et accepté une divulgation coordonnée.
2026-05-07 : L'éditeur a publié les versions corrigées (9.5.7 et 8.23.2) et publié le rapport de problème TR04X11802.
2026-06-10 : CVE-2026-53694 publiée dans la NVD.

CVE-2026-53694-NoMachine-LPE

Populaires