CVE-2025-32463-Sudo-Chroot-Escape

Descripción

Este repositorio contiene una Prueba de Concepto (PoC) basada en Python para CVE-2025-32463, una vulnerabilidad de escalada de privilegios local en las versiones de sudo 1.9.14 a 1.9.17. Cuando un usuario tiene privilegios de sudo para ejecutar un comando dentro de un entorno chroot (bandera -R), un atacante puede abusar del mecanismo Name Service Switch (NSS) para cargar un objeto compartido malicioso. Esto permite al atacante escapar del chroot y ejecutar código arbitrario como el usuario root.

Este exploit fue inspirado por el proyecto CVE-2025-32463-POC de K1tt3h.

Descargo de responsabilidad

Este script se proporciona únicamente con fines educativos y de pruebas de penetración autorizadas. El uso no autorizado de este script contra sistemas que no posee o para los que no tiene permiso explícito para probar es ilegal y poco ético. El autor no asume ninguna responsabilidad por el mal uso o los daños causados por este script.

Acerca de la vulnerabilidad

• CVE ID: CVE-2025-32463
• Componente: Sudo (opción --chroot)
• Impacto: Ejecución de código arbitrario como root al engañar al enlazador dinámico para que cargue un módulo NSS (Name Service Switch) malicioso.
• Vector de ataque: Local (requiere privilegios de sudo con la opción chroot habilitada)

Características

• Crea y compila automáticamente el payload malicioso en C.
• Utiliza un directorio temporal para todos los artefactos, asegurando que no queden archivos en el sistema.
• Muestra un estado animado para cada paso del exploit, confirmando su finalización.

Requisitos

• Python 3.x
• gcc instalado para compilar el payload.

Uso

git clone https://github.com/nelissandro/CVE-2025-32463-Sudo-Chroot-Escape.git
cd CVE-2025-32463-Sudo-Chroot-Escape
python3 exploit.py

Cómo funciona

1. El script escribe un payload en C a un archivo; este payload contiene una función __attribute__((constructor)) diseñada para generar un shell root en el momento en que se ejecuta.
2. Luego crea un directorio temporal para servir como un entorno chroot falso, completo con un archivo malicioso /etc/nsswitch.conf.
3. El archivo de configuración malicioso está configurado para engañar a la biblioteca C del sistema (glibc) para que cargue una biblioteca personalizada (libnss_privesc.so.2) para manejar las búsquedas de contraseñas.
4. El payload en C se compila en el archivo de objeto compartido libnss_privesc.so.2 y se coloca donde el enlazador dinámico pueda encontrarlo.
5. Cuando se ejecuta sudo con la bandera -R, entra en el chroot, lee la configuración maliciosa y carga nuestro objeto compartido, activando el constructor y generando un shell root.