IT 之家 11 月 22 日消息，科技媒體 bleepingcomputer 于 11 月 20 日發布博文，報道稱 Ubuntu Linux 發行版中潛伏 10 年的漏洞被發現，攻擊者利用這些漏洞可以提升本地權限至 root 級别。
Qualys 發現了這 5 個漏洞存在于 needrestart 實用工具中，追蹤編号分别爲 CVE-2024-48990、CVE-2024-48991、CVE-2024-48992、CVE-2024-10224 和 CVE-2024-11003。
needrestart 是一個用于檢查在庫升級後哪些守護進程需要重新啓動的實用程序，這些漏洞于 2014 年 4 月發布的 needrestart 0.8 版本中引入，在 2024 年 11 月 19 日發布的 3.8 版本中才修複。IT 之家簡要介紹下 5 個漏洞如下：
CVE-2024-48990 和 CVE-2024-48992: 攻擊者可通過控制 PYTHONPATH 和 RUBYLIB 環境變量，注入惡意共享庫，從而在 Python 和 Ruby 解釋器初始化期間執行任意代碼。
CVE-2024-48991: 利用 needrestart 中的競争條件，攻擊者可以替換 Python 解釋器二進制文件，從而執行惡意代碼。
CVE-2024-10224: needrestart 使用的 Perl ScanDeps 模塊對攻擊者提供的文件名處理不當，允許攻擊者構造類似 shell 命令的文件名來執行任意命令。
CVE-2024-11003: ScanDeps 模塊中不安全的使用 eval ( ) 函數，導緻在處理攻擊者控制的輸入時可能執行任意代碼。
