CVE-2024-48990 PYTHONPATH Hijack — эксплойт повышения привилегий

Этот инструмент автоматизирует эксплуатацию уязвимости повышения привилегий в needrestart версии 3.7, известной как CVE-2024-48990.
Корневой доступ достигается за счёт небезопасного использования переменной окружения PYTHONPATH, когда needrestart сканирует процессы Python.

Сводка

Эксплойт работает следующим образом:

Компилирует вредоносный общий объект (__init__.so), который срабатывает при импорте.
Раздаёт .so через локальный HTTP-сервер.
Подключается к цели по SSH и подготавливает вредоносное окружение PYTHONPATH.
Запускает Python-процесс-приманку, который непрерывно импортирует importlib.
Запускает needrestart, который наследует изменённый PYTHONPATH, загружает вредоносный модуль и выполняет полезную нагрузку с правами root.
Полезная нагрузка создаёт SUID-бинарник (/tmp/poc), обеспечивающий доступ к root-оболочке.

Использование

Запустите эксплойт с вашей атакующей машины:

python3 exploit.py --user <ssh_user> --host <target_ip> --att-ip <attacker_ip> --ssh-pass <ssh_password>

Параметры:

--user имя пользователя SSH на целевой системе
--host IP-адрес цели
--att-ip IP-адрес атакующего (используется для размещения полезной нагрузки)
--ssh-pass пароль SSH (опустите, если используются SSH-ключи)
--http-port необязательный HTTP-порт (по умолчанию: 8000)

CVE

CVE ID: CVE-2024-48990
Затронутое ПО: needrestart версии 3.7
Тип уязвимости: Небезопасная обработка переменных окружения
Воздействие: Локальное повышение привилегий до root

Очистка

Чтобы удалить следы эксплойта с целевой системы:

rm -rf /tmp/malicious /tmp/poc /tmp/exploit.sh

Требования

Атакующая машина:

Python 3
pexpect (pip3 install pexpect)
gcc (для компиляции полезной нагрузки)
Открытый SSH-доступ к целевой системе
python3 -m http.server (запускается автоматически скриптом)

Целевая машина:

Уязвимая версия needrestart (v3.7)
Не-root пользователь с правами sudo NOPASSWD для /usr/sbin/needrestart
Установленные Python 3 и curl

Отказ от ответственности

Этот инструмент предоставляется только для образовательных целей и авторизованного тестирования безопасности. Не используйте его в системах, которые вам не принадлежат, или без явного разрешения.

CVE-2024-48990-Automatic-Exploit

Популярное