CVE-2025-32463-Sudo-Chroot-Escape

Beschreibung

Dieses Repository enthält einen auf Python basierenden Proof of Concept (PoC) für CVE-2025-32463, eine lokale Privilegienausweitungsschwachstelle in den Sudo-Versionen 1.9.14 bis 1.9.17. Wenn ein Benutzer über Sudo-Berechtigungen verfügt, um einen Befehl innerhalb einer Chroot-Umgebung (Flag -R) auszuführen, kann ein Angreifer den Name Service Switch (NSS)-Mechanismus missbrauchen, um ein schädliches Shared Object zu laden. Dadurch kann der Angreifer die Chroot-Umgebung verlassen und beliebigen Code als Root-Benutzer ausführen.

Dieser Exploit wurde von K1tt3h’s CVE-2025-32463-POC-Projekt inspiriert.

Haftungsausschluss

Dieses Skript wird ausschließlich für Bildungszwecke und autorisierte Penetrationstests bereitgestellt. Die unbefugte Verwendung dieses Skripts gegen Systeme, die dir nicht gehören oder für die du keine ausdrückliche Erlaubnis zum Testen hast, ist illegal und unethisch. Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden, die durch dieses Skript verursacht werden.

Über die Schwachstelle

• CVE-ID: CVE-2025-32463
• Komponente: Sudo (--chroot-Option)
• Auswirkung: Beliebige Codeausführung als Root, indem der dynamische Linker dazu gebracht wird, ein schädliches NSS-Modul (Name Service Switch) zu laden.
• Angriffsvektor: Lokal (erfordert Sudo-Berechtigungen mit aktivierter Chroot-Option)

Funktionen

• Erstellt und kompiliert automatisch den schädlichen C-Payload.
• Verwendet ein temporäres Verzeichnis für alle Artefakte, sodass keine Dateien auf dem System zurückbleiben.
• Zeigt einen animierten Status für jeden Schritt des Exploits an und bestätigt dessen Abschluss.

Voraussetzungen

• Python 3.x
• gcc installiert zum Kompilieren des Payloads.

Verwendung

git clone https://github.com/nelissandro/CVE-2025-32463-Sudo-Chroot-Escape.git
cd CVE-2025-32463-Sudo-Chroot-Escape
python3 exploit.py

So funktioniert es

1. Das Skript schreibt einen C-Payload in eine Datei; dieser Payload enthält eine __attribute__((constructor))-Funktion, die darauf ausgelegt ist, eine Root-Shell zu starten, sobald sie ausgeführt wird.
2. Anschließend erstellt es ein temporäres Verzeichnis, das als gefälschte Chroot-Umgebung dient, komplett mit einer schädlichen /etc/nsswitch.conf-Datei.
3. Die schädliche Konfigurationsdatei ist so konfiguriert, dass sie die C-Bibliothek (glibc) des Systems dazu verleitet, eine benutzerdefinierte Bibliothek (libnss_privesc.so.2) für Passwortabfragen zu laden.
4. Der C-Payload wird in die Shared-Object-Datei libnss_privesc.so.2 kompiliert und dort abgelegt, wo der dynamische Linker sie finden kann.
5. Wenn sudo mit dem Flag -R ausgeführt wird, betritt es die Chroot-Umgebung, liest die schädliche Konfiguration und lädt unser Shared Object, was den Konstruktor auslöst und eine Root-Shell startet.