CVE-2024-28085 PoC — util-linux 安全漏洞

Source

Associated Vulnerability

Title:util-linux 安全漏洞 (CVE-2024-28085)
Description:wall in util-linux through 2.40, often installed with setgid tty permissions, allows escape sequences to be sent to other users' terminals through argv. (Specifically, escape sequences received from stdin are blocked, but escape sequences received from argv are not blocked.) There may be plausible scenarios where this leads to account takeover.

Description

trojan CVE-2024-28085 CVE 28085

Readme

# sleepall
Троян на основе ошибки CVE-2024-28085 (https://people.rit.edu/sjf5462/6831711781/wall_2_27_2024.txt) которая не исправлена еще нигде. Суть: bash поддерживает escape коды и мы можем управлять формой строки в терминале. Троян слушает процессы и ищет pid команды sudo, узнает его родителя и убивает корневой, подсовывая фейковую строку SUDO. 

Пользователь на терминале выполняет команду sudo ... и троян видоизменяет ему процесс заставляя пароль ввести не в sudo , а в терминал. После чего пароль уходит на сервер.

Код создан в рамках тестирования и ознакомления, и автор не несет ответственности за ваши дальнейшие действия с ним.

Build:
```
g++ -static sleepall.cpp -o sleepall
gcc server.c -o server
```

Фото фейкового приглашения:

<img src="https://github.com/oditynet/sleepall/blob/main/1.png" title="withwords" width="500" />

Фото что на самом деле происходит в терминале:

<img src="https://github.com/oditynet/sleepall/blob/main/2.png" title="wioutwords" width="500" />


Управление процессом пользователю разрешено на:
- arch
- alt 8 sp 10
  
Запрещено:
- Centos 7

P.S.: Уииии.

File Snapshot

Remarks

1. It is advised to access via the original source first.

2. Local POC snapshots are reserved for subscribers — if the original source is unavailable, the local mirror is part of the paid plan.

View subscription plans →

Goal Reached Thanks to every supporter — we hit 100%!