CVE-2025-32463 — استغلال تصعيد الامتيازات عبر sudo -R (نسخة illdeed)

هذا استغلال إثبات مفهوم (PoC) مُعاد هيكلته لـ CVE-2025-32463، وهو ثغرة أمنية حرجة في إصدارات sudo من 1.9.14 إلى 1.9.17 تسمح بـ تصعيد الامتيازات محليًا إلى صلاحيات الجذر (root) عبر sudo -R ووحدة NSS مزيفة.

⚠️ يقوم هذا الإصدار بإنشاء حمولة (payload) باسم illdeed لأغراض التتبع والفحص الجنائي.

💥 كيف يعمل

• ينشئ دليل chroot مزيفًا مع ملف nsswitch.conf مخصص
• يترجم مكتبة مشتركة خبيثة باسم libnss_illdeed.so.2
• ينفّذ أوامر جذر عشوائية باستخدام sudo -R <fake_root>
• ينظّف بعد التنفيذ ما لم يتم تمرير --no-clean

✅ المتطلبات

• نظام Linux مثبت عليه sudo 1.9.14 → 1.9.17
• تثبيت gcc
• مستخدم لديه وصول إلى شل محلي وإمكانية تشغيل sudo -R (بدون الحاجة لكلمة مرور)

🚀 الاستخدام

# Get an interactive root shell
./sudo-illdeed.sh

# Run a custom root command
./sudo-illdeed.sh "id && whoami && touch /root/illdeed.txt"

# Keep generated files for analysis
./sudo-illdeed.sh --no-clean

🔐 إخلاء مسؤولية

هذا الكود مقدّم للأغراض التعليمية ولاختبارات الأمن المصرّح بها فقط. لا تستخدمه ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

📚 الاعتمادات

الإثبات الأصلي (PoC): Rich Mirch (Stratascale Cyber Research Unit)

النسخة المعاد هيكلتها: illdeed