CVE-2025-6018 + CVE-2025-6019 Cadena de exploits

Este exploit fue desarrollado para resolver un desafío de HackTheBox dirigido a openSUSE Leap 15.6.

Créditos

Este exploit se basa en la investigación original del equipo de seguridad de Qualys:

• Advisory: https://cdn2.qualys.com/2025/06/17/suse15-pam-udisks-lpe.txt
• CVE-2025-6018: LPE desde un usuario sin privilegios a allow_active en PAM de openSUSE 15
• CVE-2025-6019: LPE desde allow_active a root en libblockdev a través de udisks

Implementación de referencia adicional:

• https://github.com/symphony2colour/CVE-2025-6019-udisks-lpe-no-image

Resumen

Este exploit encadena dos vulnerabilidades para lograr una escalada local de privilegios desde un usuario sin privilegios hasta root en openSUSE Leap 15.6:

1. CVE-2025-6018: Explota la configuración de PAM para obtener privilegios allow_active
2. CVE-2025-6019: Explota UDisks2/libblockdev para escalar de allow_active a root

Requisitos

• Sistema objetivo: openSUSE Leap 15.6
• Imagen de sistema de archivos XFS con un binario SUID bash (ver más abajo)
• Acceso SSH o shell local como usuario sin privilegios

Creación de la imagen XFS

El exploit requiere una imagen de sistema de archivos XFS previamente creada que contenga un binario SUID bash. Esto debe crearse en una máquina Linux donde tengas privilegios de root:

dd if=/dev/zero of=xfs.image bs=1M count=400
mkfs.xfs xfs.image
mkdir -p /tmp/mnt
mount xfs.image /tmp/mnt
cp /bin/bash /tmp/mnt/bash
chmod 04755 /tmp/mnt/bash
umount /tmp/mnt

Verifica que la imagen se creó correctamente:

file xfs.image
# Should output: "SGI XFS filesystem data (blksz 4096, inosz 256, v2 dirs)"

Cómo funciona

Paso 1: CVE-2025-6018

• Crea ~/.pam_environment con anulaciones de XDG_SEAT y XDG_VTNR
• Engaña a pam_systemd para que piense que eres un usuario de consola física
• Otorga privilegios polkit "allow_active"

Paso 2: CVE-2025-6019

• Configura un dispositivo de bucle con la imagen XFS
• Activa el redimensionado del sistema de archivos a través de la interfaz D-Bus de UDisks2
• libblockdev monta XFS en /tmp sin las opciones nosuid/nodev
• Ejecuta SUID bash desde el sistema de archivos montado para obtener root

Solución de problemas

Si el exploit falla:

• Verifica que la imagen XFS sea correcta: file xfs.image
• Asegúrate de desconectarte y reconectarte por SSH después de la primera ejecución
• Intenta ejecutar el exploit varias veces (sensible al tiempo)
• Comprueba que el servicio udisks2 esté en ejecución: systemctl status udisks2

Descargo de responsabilidad

Este exploit es solo para fines educativos y pruebas de seguridad autorizadas. Úsalo de manera responsable y únicamente en sistemas donde tengas permiso para realizar pruebas.