CVE-2024-48990 - Needrestart 3.7-3 권한 상승 익스플로잇

개요

이 저장소는 Needrestart 3.7-3의 권한 상승 취약점인 CVE-2024-48990에 대한 익스플로잇을 포함합니다. 이 익스플로잇은 부적절한 입력 처리를 활용하여 상승된 권한으로 임의의 코드를 실행합니다.

영향을 받는 버전

• Needrestart 3.7-3 (Debian 기반 시스템에서 테스트됨)
• 다른 버전도 취약할 수 있음

익스플로잇 세부 정보

익스플로잇은 다음으로 구성됩니다:

• main.asm: 권한 상승에 사용되는 어셈블리 셸코드.
• listener.sh: 익스플로잇 성공을 모니터링하기 위한 Python 기반 리스너.
• Makefile: 익스플로잇의 컴파일 및 실행을 자동화합니다.

익스플로잇 단계

1. 저장소 클론

git clone https://github.com/ten-ops/CVE-2024-48990.git
cd CVE-2024-48990

2. 컴파일 및 실행

make

이 작업은 다음을 수행합니다:

• 셸코드를 어셈블하고 링크합니다.
• /tmp/attacker/importlib/ 안에 악성 공유 객체(__init__.so)를 생성합니다.
• 공격을 모니터링하기 위해 listener.sh 스크립트를 실행합니다.

3. 익스플로잇 트리거

익스플로잇을 트리거하려면 다음 명령을 실행하세요:

sudo needrestart -r a

이렇게 하면 Needrestart가 악성 공유 객체를 로드하게 되어 권한 상승이 발생합니다.

4. 익스플로잇 성공 확인

성공하면 다음과 같은 출력이 표시됩니다:

Root obtained!, clear traces ...

다중 사용자 Ubuntu 서버에서 이 공격이 효과적인 이유

1. 관리자는 서버를 업데이트하거나 패치할 때 Needrestart를 자주 실행합니다.

2. 공격자가 관리자가 needrestart를 실행하기 전에 페이로드를 주입하면 직접적인 sudo 접근 없이 root 권한을 얻습니다.

3. 이를 "대기를 통한 권한 상승"(time-of-use 공격)이라고 합니다.

완화 방안

이 취약점을 완화하려면:

• Needrestart 업그레이드: 최신 패치 버전으로 업그레이드하세요.
• 신뢰할 수 없는 바이너리 실행 제한: 엄격한 sudo 정책을 적용하세요.
• /tmp/ 및 /var/tmp/ 모니터링: 의심스러운 활동을 감시하세요.

면책 조항

이 익스플로잇은 교육 및 연구 목적으로만 제공됩니다. 무단 사용은 관련 법률을 위반할 수 있습니다. 작성자는 어떠한 오용에 대해서도 책임을 지지 않습니다.

참고 자료

• CVE Details
• Mitre

SEO 최적화 태그:

CVE-2024-48990, Needrestart 익스플로잇, Linux 권한 상승, Needrestart 3.7-3 취약점, Linux 보안, 윤리적 해킹, 레드 팀, 루트 익스플로잇, 어셈블리 익스플로잇, 사이버 보안 연구