CVE-2024-48990

CVE-2024-48990 (e CVE-2024-48992)

Para determinar se um processo Python (um processo que está executando o interpretador Python) precisa ser reiniciado, o needrestart extrai a variável de ambiente PYTHONPATH do /proc/pid/environ desse processo (na linha 193), define essa variável de ambiente se ela existir (na linha 196) e executa o Python ("$ptable->{exec}" na linha 203) com um argumento "-" para ler um script curto e embutido no código a partir do stdin (na linha 204):

---

""" perl 135 sub files { 136 my $self = shift; 137 my $pid = shift; 138 my $cache = shift; 139 my $ptable = nr_ptable_pid($pid); ... 193 my %e = nr_parse_env($pid); 194 local %ENV; 195 if(exists($e{PYTHONPATH})) { 196 $ENV{PYTHONPATH} = $e{PYTHONPATH}; 197 } ... 203 my ($pyread, $pywrite) = nr_fork_pipe2($self->{debug}, $ptable->{exec}, '-'); 204 print $pywrite "import sys\nprint(sys.path)\n"; 205 close($pywrite); """

Infelizmente, se um processo Python pertencer a um atacante local, o needrestart executa o Python (na linha 203) com uma variável de ambiente PYTHONPATH controlada pelo atacante, o que permite que o atacante execute código arbitrário como root (mesmo que o script Python embutido no código do needrestart na linha 204 não seja controlado pelo atacante de forma alguma). Esta é a CVE-2024-48990.