CVE-2024-48990-PoC

Что такое needrestart и как он работает?

Needrestart — это широко используемая утилита в Linux-системах (по умолчанию установлена во многих версиях Ubuntu), которая после обновления ПО проверяет, нужно ли перезапустить какой-либо сервис или саму систему. Анализируя запущенные процессы, она определяет, используют ли они обновлённые библиотеки или их необходимо перезапустить для применения изменений.

Как работает уязвимость?

Когда needrestart обнаруживает процесс, выполняющий интерпретатор Python, она считывает переменную окружения PYTHONPATH, связанную с этим процессом, из /proc/[pid]/environ и затем устанавливает её перед запуском собственного интерпретатора Python для анализа.

Если исходный процесс принадлежит локальному атакующему, он может изменить PYTHONPATH, чтобы указать на вредоносную библиотеку.

В результате, когда needrestart запускает интерпретатор Python с привилегиями root и изменённым PYTHONPATH, он выполняет код атакующего, что приводит к повышению привилегий до root.

Затронутые версии

Эта уязвимость затрагивает только версии needrestart ниже 3.8. Начиная с версии 3.8 включено исправление, которое должным образом очищает переменные окружения, такие как PYTHONPATH, перед вызовом интерпретатора Python, предотвращая повышение привилегий через манипуляцию вредоносным окружением.

Использование PoC

1. Клонируйте репозиторий.

2. В файле runner.sh измените IP-адрес, используемый для загрузки скомпилированного бинарного файла, чтобы он указывал на вашу машину.

3. На машине атакующего дайте права на выполнение и запустите binary.sh.

4. Запустите HTTP-сервер:

$ python3 -m http.server

5. На машине жертвы скопируйте runner.sh, дайте права на выполнение и запустите его. В другой консоли запустите needrestart с привилегиями root. На этом этапе вы должны получить root-шелл в консоли, где был запущен PoC.