استغلال تصعيد الامتيازات في أداة Below (CVE-2025-27519)

يحتوي هذا المستودع على سكربت Bash لإثبات المفهوم (PoC) يستغل ثغرة تصعيد الامتيازات في أداة Below (CVE-2025-27519) على أنظمة Linux. يسمح الاستغلال لمستخدم محلي بتصعيد صلاحياته إلى الجذر (root) عبر إساءة استخدام الطريقة التي يسجّل بها ثنائي below الأخطاء.

⚠️ تحذير: هذا السكربت مخصص لأغراض تعليمية واختبار الاختراق المصرّح به فقط. لا تستخدمه على أنظمة لا تملكها أو ليس لديك إذن لاختبارها.

---

نظرة عامة على الثغرة

• CVE: CVE-2025-27519
• البرنامج المتأثر: أداة تسجيل السجلات below
• الأثر: تصعيد امتيازات محلي
• الوصف: يتعامل ثنائي below بشكل غير صحيح مع تسجيل الأخطاء وأقفال الملفات. دليل السجلات الخاص به (/var/log/below/) قابل للكتابة من قِبل الجميع، مما يسمح لأي مستخدم محلي بالتلاعب بملفات السجلات. من خلال إنشاء رابط رمزي من error_root.log to إلى /etc/ passwd وتشغيل below error، يمكن للمهاجم إدراج إدخال مستخدم جذر مزيف والحصول على صلاحيات إدارية.

لماذا يعمل هذا الاستغلال؟

1. يكتب below الأخطاء إلى /var/log/below/error_root.log.
2. دليل السجلات /var/log/below/ قابل للكتابة من قِبل الجميع (drwxrwxrwx)، مما يسمح لأي مستخدم محلي باستبدال ملف السجل أو إنشاء رابط رمزي له.
3. لا يتحقق البرنامج بشكل صحيح من ملكية الملف والصلاحيات قبل الكتابة.
4. من خلال استبدال ملف السجل برابط رمزي إلى /etc/passwd، يمكن للسكربت إدراج إدخال مستخدم جذر مزيف
5. بعد تشغيل خطأ، يمكن للمستخدم منخفض الصلاحيات إنشاء مستخدم مزيف داخل /etc/passwd

---

الاستخدام

1. استنساخ المستودع:
   root@kitploit:~

   git clone https://github.com/Diabl0xE/CVE-2025-27519
   cd CVE-2025-27519
   

2. اجعل السكربت قابلًا للتنفيذ:
   root@kitploit:~

   chmod +x exploit.sh
   

3. تشغيل الاستغلال:
   root@kitploit:~

   ./exploit.sh