CVE-2024-48990 (и CVE-2024-48992)

Чтобы определить, нужно ли перезапускать процесс Python (процесс, выполняющий интерпретатор Python), needrestart извлекает переменную окружения PYTHONPATH из /proc/pid/environ этого процесса (в строке 193), устанавливает эту переменную окружения, если она существует (в строке 196), и выполняет Python ("$ptable->{exec}" в строке 203) с аргументом "-" для чтения короткого, жёстко заданного скрипта из stdin (в строке 204):

---

""" perl 135 sub files { 136 my $self = shift; 137 my $pid = shift; 138 my $cache = shift; 139 my $ptable = nr_ptable_pid($pid); ... 193 my %e = nr_parse_env($pid); 194 local %ENV; 195 if(exists($e{PYTHONPATH})) { 196 $ENV{PYTHONPATH} = $e{PYTHONPATH}; 197 } ... 203 my ($pyread, $pywrite) = nr_fork_pipe2($self->{debug}, $ptable->{exec}, '-'); 204 print $pywrite "import sys\nprint(sys.path)\n"; 205 close($pywrite); """

К сожалению, если процесс Python принадлежит локальному злоумышленнику, needrestart выполняет Python (в строке 203) с контролируемой злоумышленником переменной окружения PYTHONPATH, что позволяет злоумышленнику выполнить произвольный код с правами root (даже несмотря на то, что жёстко заданный Python-скрипт needrestart в строке 204 вообще не контролируется злоумышленником). Это CVE-2024-48990.