CVE-2025-32463: Lokale Rechteausweitung durch sudo -R NSS-Injection

Zusammenfassung

Dieses PoC demonstriert eine lokale Rechteausweitung auf Linux-Systemen durch Missbrauch der sudo -R-Option in Verbindung mit einem benutzerdefinierten NSS-Modul. Es zielt auf die Schwachstelle CVE-2025-32463 ab, die auf unsicherer Verarbeitung der nsswitch.conf- und NSS-Shared-Libraries in einer Chroot-Umgebung beruht.

Dieses PoC, sudo2root, passt die ursprüngliche Technik an, indem es ein benutzerdefiniertes NSS-Modul kompiliert, das das constructor-Attribut nutzt, um Privilegien zu erweitern und eine Setuid-Root-Shell in /usr/local/bin/.suidshell zu hinterlegen.

Details zur Schwachstelle

• Schwachstelle: Fehlerhafte Eingabevalidierung und unsichere Verwendung des -R-Chroot-Schalters durch sudo.
• Auswirkung: Ein lokaler Angreifer mit sudo-Zugriff kann beliebigen Code als root ausführen und durchbricht damit die Container- und Benutzerisolation.
• Grundursache:
  • sudo -R ändert das Root-Verzeichnis, gibt jedoch keine Privilegien ab und bereinigt die Umgebung nicht.
  • NSS-Module werden auch aus angreiferkontrollierten Pfaden innerhalb dieses neuen Root-Verzeichnisses geladen.
• Exploit-Strategie:
  1. Erstellen eines gefälschten Root-Dateisystems mit bösartiger nsswitch.conf und einem benutzerdefinierten libnss_*-Shared Object.
  2. sudo dazu verleiten, die angreiferkontrollierte NSS-Bibliothek zu laden.
  3. Das Shared Object führt beim Laden Code aus (über __attribute__((constructor))), hinterlegt eine Setuid-Root-Shell und erweitert die Privilegien.

PoC-Übersicht

Wichtige Komponenten:

1. sudo2root.c – Bösartiges NSS-Modul:

   • Verwendet eine Constructor-Funktion, die:
     • Über setreuid(0,0) und setregid(0,0) Root-Rechte erlangt
     • Ein kleines C-Programm für eine Root-Shell schreibt
     • Es mit gcc kompiliert
     • Korrekte SUID-Berechtigungen setzt

2. Bash-Exploit-Skript:

   • Bereitet das gefälschte Chroot vor mit:
     • etc/nsswitch.conf
     • Benutzerdefiniertem libnss_/sudo2root1337.so.2-NSS-Modul
   • Startet den Exploit über:
     root@kitploit:~

     sudo -R sudo2root sudo2root
     

3. Setuid-Shell:

   • Geschrieben nach: /usr/local/bin/.suidshell
   • Behält bei der Ausführung Root-Rechte:
     root@kitploit:~

     /usr/local/bin/.suidshell id
     

Verwendung

chmod +x sudoinject.sh
./sudoinject.sh

Nach Abschluss des Exploits ausführen:

/usr/local/bin/.suidshell
whoami  # => root

Dateistruktur

sudoinject.sh                 # Main exploit script
libnss_/sudo2root1337.so.2   # Malicious NSS module (compiled)
sudo2root/etc/nsswitch.conf  # Custom nsswitch pointing to fake module
/usr/local/bin/.suidshell    # Final setuid root shell

Technische Übersicht:

Ausnutzen von sudo -R:

• Der -R <dir>-Schalter von sudo ändert das Root-Verzeichnis, bevor ein Befehl ausgeführt wird.
• Wenn dieses Verzeichnis eine benutzerdefinierte nsswitch.conf mit passwd: /libnss_<name>.so enthält, lädt sudo diese bevor Privilegien abgegeben werden.
• Dieses Verhalten ermöglicht die Ausführung beliebigen Codes als Root.

Ausführung des NSS-Moduls:

• Das Shared Object wird kompiliert mit:

  root@kitploit:~

  gcc -shared -fPIC -Wl,-init,exploit_constructor -o libnss_/sudo2root1337.so.2 sudo2root.c
  

• Der Constructor wird vor jeglicher main()-Logik ausgeführt.

• Erstellt und kompiliert eine Setuid-Shell mit:

  root@kitploit:~

  setreuid(0,0); setregid(0,0); execl("/bin/bash", "bash", NULL);
  

• Setzt Berechtigungen über:

  root@kitploit:~

  chown 0:0 .suidshell && chmod 4755 .suidshell
  

Screenshot (PoC)

Danksagungen

• Inspiration für das ursprüngliche PoC: pr0v3rbs/CVE-2025-32463_chwoot
• Exploit angepasst und verbessert von: MikiVirus

📢 Haftungsausschluss

Dieser Code dient ausschließlich zu Bildungszwecken. Die unbefugte Verwendung dieses Codes auf Systemen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben, ist illegal und unethisch. Holen Sie vor der Durchführung von Sicherheitstests stets eine ordnungsgemäße Genehmigung ein.