سلسلة استغلال CVE-2025-6018 + CVE-2025-6019

تم تطوير هذا الاستغلال لحل تحدي من HackTheBox يستهدف openSUSE Leap 15.6.

الاعتمادات

يعتمد هذا الاستغلال على البحث الأصلي لفريق أمان Qualys:

• النشرة الأمنية: https://cdn2.qualys.com/2025/06/17/suse15-pam-udisks-lpe.txt
• CVE-2025-6018: ترقية الصلاحيات من مستخدم غير مميز إلى allow_active في PAM الخاص بـ openSUSE 15
• CVE-2025-6019: ترقية الصلاحيات من allow_active إلى root في libblockdev عبر udisks

تنفيذ مرجعي إضافي:

• https://github.com/symphony2colour/CVE-2025-6019-udisks-lpe-no-image

نظرة عامة

يجمع هذا الاستغلال بين ثغرتين لتحقيق تصعيد الصلاحيات محليًا من مستخدم غير مميز إلى صلاحيات root على openSUSE Leap 15.6:

1. CVE-2025-6018: يستغل تكوين PAM للحصول على صلاحيات allow_active
2. CVE-2025-6019: يستغل UDisks2/libblockdev للتصعيد من allow_active إلى root

المتطلبات

• النظام المستهدف: openSUSE Leap 15.6
• ملف صورة XFS يحتوي على ثنائي bash مع SUID (انظر أدناه)
• وصول عبر SSH أو شل محلي كمستخدم غير مميز

إنشاء صورة XFS

يتطلب الاستغلال صورة نظام ملفات XFS مُنشأة مسبقًا وتحتوي على ثنائي bash مع SUID. يجب إنشاء هذه الصورة على جهاز Linux حيث تملك صلاحيات root:

dd if=/dev/zero of=xfs.image bs=1M count=400
mkfs.xfs xfs.image
mkdir -p /tmp/mnt
mount xfs.image /tmp/mnt
cp /bin/bash /tmp/mnt/bash
chmod 04755 /tmp/mnt/bash
umount /tmp/mnt

تحقق من إنشاء الصورة بشكل صحيح:

file xfs.image
# Should output: "SGI XFS filesystem data (blksz 4096, inosz 256, v2 dirs)"

كيف يعمل

الخطوة 1: CVE-2025-6018

• ينشئ ~/.pam_environment مع تجاوزات XDG_SEAT وXDG_VTNR
• يخدع pam_systemd ليعتقد أنك مستخدم وحدة تحكم فعلية
• يمنح صلاحيات polkit من نوع "allow_active"

الخطوة 2: CVE-2025-6019

• يجهز جهاز loop مع صورة XFS
• يُطلق تغيير حجم نظام الملفات عبر واجهة UDisks2 D-Bus
• يقوم libblockdev بتركيب XFS إلى /tmp بدون علامتي nosuid/nodev
• ينفذ bash مع SUID من نظام الملفات المُركب للحصول على صلاحيات root

استكشاف الأخطاء وإصلاحها

إذا فشل الاستغلال:

• تحقق من صحة صورة XFS: file xfs.image
• تأكد من فصل وإعادة الاتصال عبر SSH بعد التشغيل الأول
• جرّب تشغيل الاستغلال عدة مرات (حساس للتوقيت)
• تحقق من أن خدمة udisks2 قيد التشغيل: systemctl status udisks2

إخلاء مسؤولية

هذا الاستغلال مخصص للأغراض التعليمية واختبار الأمان المصرح به فقط. استخدمه بمسؤولية وعلى الأنظمة التي لديك إذن باختبارها فقط.