PoC per CVE-2024-48990

CVE-2024-48990 è una vulnerabilità di escalation locale dei privilegi trovata nell'utilità needrestart. La vulnerabilità esiste nelle versioni precedenti alla 3.8. Il servizio, che viene eseguito come root durante eventi come l'installazione di pacchetti, esegue una scansione non sicura di tutti i processi in esecuzione. Quando trova un processo Python, legge e considera attendibile la variabile d'ambiente PYTHONPATH di quel processo.

Un attaccante locale non privilegiato può dirottare il PYTHONPATH su un processo "esca". Quando needrestart viene eseguito, lo troverà, adottando il percorso dannoso, ed eseguirà il codice dell'attaccante con privilegi di root.

Utilizzo

1. Clonare il repository in una directory controllata dall'attaccante:

git clone https://github.com/Mr-DJ/CVE-2024-48990
cd CVE-2024-48990

2. Rendere eseguibile lo script di exploit:

chmod +x exploit.sh

3. Eseguire l'exploit. Imposterà la trappola e attenderà finché la shell SUID non viene rilevata (creata quando needrestart viene eseguito da root), facendo apparire una shell di root.

Mitigazione

• Patch: Aggiornare needrestart alla versione 3.8 o a una versione corretta dal proprio distributore
• Indurire i mount: Questo exploit può essere mitigato anche montando le directory scrivibili dall'utente con le opzioni nosuid e noexec.

Riferimenti

• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-48990

• Advisory originale: Qualys - LPEs in needrestart

• NIST: NVD-CVE-2024-48990