CVE-2025-27591 PoC: Escalada de Privilegios Local en Below < v0.9.0

Prueba de Concepto para CVE-2025-27591, una vulnerabilidad que permite a usuarios locales sin privilegios escalar sus privilegios a root mediante ataques de enlace simbólico.

🕵️‍♂️ Detalles Técnicos

La vulnerabilidad afecta al servicio Below (versiones anteriores a v0.9.0). Crea un directorio /var/log/below con permisos de escritura mundial (0777), permitiendo a usuarios locales sin privilegios reubicar enlaces simbólicos y manipular archivos críticos como /etc/shadow, resultando en una escalada a root.

🧩 Impacto

Un usuario local sin privilegios puede escalar a root mediante:

Creando un enlace simbólico en /var/log/below a un archivo sensible del sistema.
Ejecutando el servicio con sudo (por ejemplo, sudo below snapshot), haciendo que Below escriba en el enlace simbólico con privilegios de root.

✅ Requisitos

/var/log/below/ debe tener permisos de escritura mundial (0777) y contener el archivo error_root.log.
Debe tener permitido usar sudo /usr/bin/below.

foo@victim:~$ ls -l /var/log/ | grep below
drwxrwxrwx  3 root      root               4096 Jul  8 20:45 below

🛠️ Uso

Necesitaremos privilegios a nivel de sudoers.

foo@victim:~$ sudo -l
Matching Defaults entries for jacob on victim:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin, use_pty

User foo may run the following commands on victim:
    (ALL : ALL) NOPASSWD: /usr/bin/below

Una vez que tengamos el archivo poc.sh, le daremos los permisos necesarios, lo ejecutaremos y seremos root.

foo@victim:/tmp$ chmod +x poc.sh
foo@victim:/tmp$ ./poc.sh 
evil@victim:/tmp# id
uid=0(evil) gid=0(root) groups=0(root)

✅ Solución Oficial

Actualice a Below v0.9.0 o posterior, que elimina la lógica insegura de chmod y se basa en características de unidades systemd como LogsDirectory=below

⚖️ Legal

Este script es solo con fines educativos. Siempre obtenga permiso explícito antes de probar.

CVE-2025-27591-PoC

Más Populares