CVE-2025-27591-Below

📌 Beschreibung

Dies ist ein Proof-of-Concept (PoC)-Exploit für CVE-2025-27591, eine lokale Privilege-Escalation-Schwachstelle im Systemüberwachungstool below.

Das Problem entsteht durch unsichere Handhabung von Logdateien (/var/log/below/error_root.log) bei Ausführung mit erhöhten Rechten. Durch Missbrauch kann ein Angreifer einen Symlink-Angriff durchführen und einen bösartigen Benutzer in /etc/passwd injizieren, wodurch effektiv Root-Zugriff gewährt wird.

⚙️ Betroffen

• Binärdatei: /usr/bin/below
• Erfordert: sudo-Berechtigung zum Ausführen von below record
• Getestet auf: HTB-Maschine (Name nicht genannt)

🔧 Exploit-Schritte

1. Lösche die Ziellogdatei (falls vorhanden)
2. Erstelle einen Symlink: /var/log/below/error_root.log → /etc/passwd
3. Führe den verwundbaren Befehl aus: sudo /usr/bin/below record
4. Füge einen Root-Benutzer zu /etc/passwd hinzu
5. Überprüfe, dass der Benutzer erstellt wurde
6. Starte eine Root-Shell als der injizierte Benutzer

🚀 Exploitation-Schritte

1. Klone dieses Repository
   root@kitploit:~

   git clone https://github.com/Thekin-ctrl/CVE-2025-27591-Below.git
   cd CVE-2025-27591-Below
   python3 Exploit.py
   

🙏 Danksagung

Dieser Exploit wurde von einem früheren Proof-of-Concept von BridgerAlderson inspiriert, verfügbar hier:

• https://github.com/BridgerAlderson/CVE-2025-27591-PoC.git

Die aktuelle Version ist eine vereinfachte und angepasste Version, die von mir zu Bildungs- und Übungszwecken geschrieben wurde.