Nhiều lỗ hổng bảo mật hàng thập kỷ đã được tiết lộ trong gói needrestart được cài đặt theo mặc định trong Ubuntu Server (kể từ phiên bản 21.04) có thể cho phép kẻ tấn công cục bộ có được đặc quyền root mà không yêu cầu tương tác người dùng.
Đơn vị Nghiên cứu Mối đe dọa Qualys (TRU), đã xác định và báo cáo các lỗ hổng vào đầu tháng trước, cho biết chúng rất tầm thường để khai thác, đòi hỏi người dùng phải nhanh chóng áp dụng các bản sửa lỗi. Các lỗ hổng được cho là đã tồn tại kể từ khi giới thiệu hỗ trợ thông dịch viên trong Needrestart 0.8, được phát hành vào ngày 27 tháng 4 năm 2014.
Needrestart là một tiện ích quét hệ thống để xác định các dịch vụ cần được khởi động lại sau khi áp dụng các bản cập nhật thư viện được chia sẻ theo cách tránh khởi động lại hệ thống hoàn chỉnh.
Năm lỗ hổng được liệt kê dưới đây -
- CVE-2024-48990 (điểm CVSS: 7.8) - Một lỗ hổng cho phép kẻ tấn công cục bộ thực thi mã tùy ý dưới dạng root bằng cách lừa needrestart chạy trình thông dịch Python với biến môi trường PYTHONPATH do kẻ tấn công kiểm soát
- CVE-2024-48991 (điểm CVSS: 7.8) - Một lỗ hổng cho phép kẻ tấn công cục bộ thực thi mã tùy ý làm root bằng cách giành chiến thắng trong điều kiện chủng tộc và lừa needrestart chạy trình thông dịch Python giả mạo của riêng chúng
- CVE-2024-48992 (điểm CVSS: 7.8) - Một lỗ hổng cho phép kẻ tấn công cục bộ thực thi mã tùy ý làm root bằng cách lừa needrestart chạy trình thông dịch Ruby với biến môi trường RUBYLIB do kẻ tấn công kiểm soát
- CVE-2024-11003 (điểm CVSS: 7.8) và CVE-2024-10224 (điểm CVSS: 5.3) - Hai lỗ hổng cho phép kẻ tấn công cục bộ thực hiện các lệnh shell tùy ý làm root bằng cách tận dụng sự cố trong gói libmodule-scandeps-perl (trước phiên bản 1.36)
Khai thác thành công những thiếu sót nói trên có thể cho phép kẻ tấn công cục bộ thiết lập các biến môi trường đặc biệt crafted cho PYTHONPATH hoặc RUBYLIB có thể dẫn đến việc thực thi mã tùy ý trỏ đến môi trường của tác nhân đe dọa khi cần khởi động lại được chạy.
Mặc dù chúng tôi khuyên bạn nên tải xuống các bản vá lỗi mới nhất, Ubuntu cho biết người dùng có thể vô hiệu hóa máy quét thông dịch cần khởi động lại tệp cấu hình như một biện pháp giảm thiểu tạm thời và đảm bảo rằng các thay đổi được hoàn nguyên sau khi các bản cập nhật được áp dụng.
"Những lỗ hổng này trong tiện ích needrestart cho phép người dùng cục bộ leo thang đặc quyền của họ bằng cách thực thi mã tùy ý trong quá trình cài đặt hoặc nâng cấp gói, nơi needrestart thường được chạy với tư cách là người dùng root", Saeed Abbasi, giám đốc sản phẩm của TRU tại Qualys, cho biết.