CVE-2025-32463: تصعيد الصلاحيات المحلية عبر حقن NSS باستخدام sudo -R

ملخص

يُظهر هذا الدليل (PoC) تصعيد الصلاحيات المحلية على أنظمة لينكس من خلال إساءة استخدام خيار sudo -R مع وحدة NSS مخصصة. يستهدف الثغرة CVE-2025-32463، والتي تنبع من المعالجة غير الآمنة لملف nsswitch.conf ومكتبات NSS المشتركة في بيئة chroot.

يُكيِّف هذا الدليل، sudo2root، التقنية الأصلية عن طريق تجميع وحدة NSS مخصصة تستخدم سمة constructor لتصعيد الصلاحيات ووضع شيل setuid root في /usr/local/bin/.suidshell.

تفاصيل الثغرة

• الثغرة: التحقق غير السليم من المدخلات والاستخدام غير الآمن لعلامة chroot -R بواسطة sudo.
• التأثير: يمكن لمهاجم محلي لديه صلاحية الوصول إلى sudo تنفيذ كود عشوائي كـ root، مما يكسر العزل الخاص بالحاويات والمستخدمين.
• السبب الجذري:
  • sudo -R يُغيِّر الدليل الجذر ولكنه لا يُسقِط الصلاحيات أو يُعقِّم البيئة.
  • يتم تحميل وحدات NSS حتى من مسارات يتحكم فيها المهاجم داخل هذا الجذر الجديد.
• استراتيجية الاستغلال:
  1. إنشاء نظام ملفات جذر مزيف بملف nsswitch.conf خبيث وكائن مشترك libnss_* مخصص.
  2. خداع sudo لتحميل مكتبة NSS التي يتحكم فيها المهاجم.
  3. ينفذ الكائن المشترك كودًا عند التحميل (عبر __attribute__((constructor)))، ويضع شيل setuid root، ويُصعِّد الصلاحيات.

نظرة عامة على الدليل

المكونات الرئيسية:

1. sudo2root.c – وحدة NSS خبيثة:

   • تستخدم دالة constructor تقوم بـ:
     • الحصول على صلاحيات root عبر setreuid(0,0) و setregid(0,0)
     • كتابة برنامج C صغير لشيل root
     • تجميعه باستخدام gcc
     • ضبط صلاحيات SUID الصحيحة

2. نص برمجي باش للاستغلال:

   • يحضّر chroot الزائف مع:
     • etc/nsswitch.conf
     • وحدة NSS المخصصة libnss_/sudo2root1337.so.2
   • يُطلق الاستغلال عبر:
     root@kitploit:~

     sudo -R sudo2root sudo2root
     

3. شيل Setuid:

   • يُكتب في: /usr/local/bin/.suidshell
   • يحتفظ بصلاحية root عند التنفيذ:
     root@kitploit:~

     /usr/local/bin/.suidshell id
     

الاستخدام

chmod +x sudoiinject.sh
./sudoinject.sh

بعد اكتمال الاستغلال، قم بتشغيل:

/usr/local/bin/.suidshell
whoami  # => root

هيكل الملفات

sudoinject.sh                 # النص البرمجي الرئيسي للاستغلال
libnss_/sudo2root1337.so.2   # وحدة NSS الخبيثة (مجمعة)
sudo2root/etc/nsswitch.conf  # ملف nsswitch مخصص يشير إلى الوحدة المزيفة
/usr/local/bin/.suidshell    # شيل root النهائي مع setuid

نظرة فنية

استغلال sudo -R:

• علامة -R <dir> في sudo تُغيِّر الدليل الجذر قبل تنفيذ أمر.
• إذا كان هذا الدليل يحتوي على ملف nsswitch.conf مخصص مع passwd: /libnss_<name>.so، يقوم sudo بتحميله قبل إسقاط الصلاحيات.
• يتيح هذا السلوك تنفيذ كود عشوائي كـ root.

تنفيذ وحدة NSS:

• يتم تجميع الكائن المشترك باستخدام:

  root@kitploit:~

  gcc -shared -fPIC -Wl,-init,exploit_constructor -o libnss_/sudo2root1337.so.2 sudo2root.c
  

• يتم تشغيل constructor قبل أي منطق main().

• يُنشئ ويُجمِّع شيل suid مع:

  root@kitploit:~

  setreuid(0,0); setregid(0,0); execl("/bin/bash", "bash", NULL);
  

• يتم ضبط الصلاحيات عبر:

  root@kitploit:~

  chown 0:0 .suidshell && chmod 4755 .suidshell
  

لقطة شاشة (الدليل)

شكر وتقدير

• الإلهام الأصلي للدليل: pr0v3rbs/CVE-2025-32463_chwoot
• تم تكييف وتحسين الدليل بواسطة: MikiVirus

📢 إخلاء مسؤولية

هذا الكود مُقدم لأغراض تعليمية فقط. الاستخدام غير المصرح به لهذا الكود على أنظمة لا تمتلكها أو ليس لديك إذن صريح لاختبارها غير قانوني وغير أخلاقي. احصل دائمًا على التفويض المناسب قبل إجراء اختبارات أمنية.