CVE-2025-6018 + CVE-2025-6019 Exploit-Kette

Dieser Exploit wurde entwickelt, um eine HackTheBox-Challenge zu lösen, die openSUSE Leap 15.6 betrifft.

Credits

Dieser Exploit basiert auf der ursprünglichen Forschung des Qualys Security Teams:

• Advisory: https://cdn2.qualys.com/2025/06/17/suse15-pam-udisks-lpe.txt
• CVE-2025-6018: LPE von unprivilegiert zu allow_active im PAM von openSUSE 15
• CVE-2025-6019: LPE von allow_active zu root in libblockdev über udisks

Zusätzliche Referenzimplementierung:

• https://github.com/symphony2colour/CVE-2025-6019-udisks-lpe-no-image

Übersicht

Dieser Exploit verkettet zwei Schwachstellen, um eine lokale Privilege-Escalation von einem unprivilegierten Benutzer zu root auf openSUSE Leap 15.6 zu erreichen:

1. CVE-2025-6018: Nutzt die PAM-Konfiguration aus, um allow_active-Berechtigungen zu erlangen
2. CVE-2025-6019: Nutzt UDisks2/libblockdev aus, um von allow_active auf root zu eskalieren

Voraussetzungen

• Zielsystem: openSUSE Leap 15.6
• XFS-Image-Datei mit SUID-bash-Binärdatei (siehe unten)
• SSH- oder lokaler Shell-Zugriff als unprivilegierter Benutzer

Erstellen des XFS-Images

Der Exploit erfordert ein zuvor erstelltes XFS-Dateisystem-Image, das eine SUID-bash-Binärdatei enthält. Dieses muss auf einem Linux-Rechner erstellt werden, auf dem Sie Root-Rechte besitzen:

dd if=/dev/zero of=xfs.image bs=1M count=400
mkfs.xfs xfs.image
mkdir -p /tmp/mnt
mount xfs.image /tmp/mnt
cp /bin/bash /tmp/mnt/bash
chmod 04755 /tmp/mnt/bash
umount /tmp/mnt

Überprüfen Sie, ob das Image korrekt erstellt wurde:

file xfs.image
# Should output: "SGI XFS filesystem data (blksz 4096, inosz 256, v2 dirs)"

Funktionsweise

Schritt 1: CVE-2025-6018

• Erstellt ~/.pam_environment mit XDG_SEAT- und XDG_VTNR-Overrides
• Täuscht pam_systemd vor, dass Sie ein physischer Konsolenbenutzer sind
• Gewährt "allow_active"-Polkit-Berechtigungen

Schritt 2: CVE-2025-6019

• Richtet ein Loop-Device mit dem XFS-Image ein
• Löst eine Dateisystem-Vergrößerung über die UDisks2-D-Bus-Schnittstelle aus
• libblockdev mountet XFS nach /tmp ohne nosuid/nodev-Flags
• Führt SUID-bash aus dem eingehängten Dateisystem aus, um Root-Rechte zu erlangen

Fehlerbehebung

Wenn der Exploit fehlschlägt:

• Überprüfen Sie, ob das XFS-Image korrekt ist: file xfs.image
• Stellen Sie sicher, dass Sie nach dem ersten Lauf die SSH-Verbindung getrennt und neu hergestellt haben
• Versuchen Sie, den Exploit mehrmals auszuführen (zeitkritisch)
• Prüfen Sie, ob der udisks2-Dienst läuft: systemctl status udisks2

Haftungsausschluss

Dieser Exploit dient nur zu Bildungszwecken und autorisierten Sicherheitstests. Verwenden Sie ihn verantwortungsvoll und nur auf Systemen, für die Sie eine Testberechtigung haben.