PoC para CVE-2024-48990

CVE-2024-48990 é uma vulnerabilidade de escalada de privilégio local encontrada no utilitário needrestart. A vulnerabilidade existe em versões anteriores à 3.8. O serviço, que é executado como root durante eventos como instalações de pacotes, escaneia de forma insegura todos os processos em execução. Quando encontra um processo Python, ele lê e confia na variável de ambiente PYTHONPATH desse processo.

Um atacante local sem privilégios pode sequestrar o PYTHONPATH em um processo "isca". Quando o needrestart é executado, ele o encontrará, adotando o caminho malicioso, e então executará o código do atacante com privilégios de root.

Uso

1. Clone o repositório em um diretório controlado pelo atacante:

git clone https://github.com/Mr-DJ/CVE-2024-48990
cd CVE-2024-48990

2. Torne o script de exploit executável:

chmod +x exploit.sh

3. Execute o exploit. Ele irá armar a armadilha e esperar até que o shell SUID seja detectado (criado quando o needrestart é executado pelo root), abrindo um shell root.

Mitigação

• Correção: Atualize o needrestart para a versão 3.8 ou uma versão corrigida da sua distribuição
• Reforçar Montagens: Este exploit também pode ser mitigado montando diretórios graváveis pelo usuário com as opções nosuid e noexec.

Referências

• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-48990

• Aviso Original: Qualys - LPEs no needrestart

• NIST: NVD-CVE-2024-48990