CVE-2025-32463: Escalada de Privilegios Local mediante sudo -R NSS Injection

Resumen

Este PoC demuestra escalada de privilegios local en sistemas Linux mediante el abuso de la opción sudo -R en conjunto con un módulo NSS personalizado. Apunta a la vulnerabilidad CVE-2025-32463, que se origina en el manejo inseguro de nsswitch.conf y las bibliotecas compartidas NSS bajo un entorno chroot.

Este PoC, sudo2root, adapta la técnica original compilando un módulo NSS personalizado que aprovecha el atributo constructor para escalar privilegios y depositar un shell setuid root en /usr/local/bin/.suidshell.

Detalles de la Vulnerabilidad

• Vulnerabilidad: Validación de entrada incorrecta y uso inseguro del flag -R chroot por parte de sudo.
• Impacto: Un atacante local con acceso a sudo puede ejecutar código arbitrario como root, rompiendo el aislamiento de contenedores y usuarios.
• Causa Raíz:
  • sudo -R cambia el directorio raíz pero no elimina privilegios ni sanitiza el entorno.
  • Los módulos NSS se cargan incluso desde rutas controladas por el atacante dentro de esta nueva raíz.
• Estrategia de Explotación:
  1. Crear un sistema de archivos raíz falso con un nsswitch.conf malicioso y un objeto compartido libnss_* personalizado.
  2. Engañar a sudo para que cargue la biblioteca NSS controlada por el atacante.
  3. El objeto compartido ejecuta código al cargarse (mediante __attribute__((constructor))), deposita un shell setuid root y escala privilegios.

Resumen del PoC

Componentes Clave:

1. sudo2root.c – Módulo NSS malicioso:

   • Usa una función constructora que:
     • Obtiene root mediante setreuid(0,0) y setregid(0,0)
     • Escribe un pequeño programa en C para un shell root
     • Lo compila con gcc
     • Establece permisos SUID correctos

2. Script Bash de Explotación:

   • Prepara el chroot falso con:
     • etc/nsswitch.conf
     • Módulo NSS personalizado libnss_/sudo2root1337.so.2
   • Lanza el exploit mediante:
     root@kitploit:~

     sudo -R sudo2root sudo2root
     

3. Shell Setuid:

   • Escrito en: /usr/local/bin/.suidshell
   • Retiene root al ejecutarse:
     root@kitploit:~

     /usr/local/bin/.suidshell id
     

Uso

chmod +x sudoinject.sh
./sudoinject.sh

Después de que el exploit se complete, ejecute:

/usr/local/bin/.suidshell
whoami  # => root

Estructura de Archivos

sudoinject.sh                 # Main exploit script
libnss_/sudo2root1337.so.2   # Malicious NSS module (compiled)
sudo2root/etc/nsswitch.conf  # Custom nsswitch pointing to fake module
/usr/local/bin/.suidshell    # Final setuid root shell

Resumen Técnico:

Explotando sudo -R:

• El flag -R <dir> de sudo cambia el directorio raíz antes de ejecutar un comando.
• Si este directorio tiene un nsswitch.conf personalizado con passwd: /libnss_<name>.so, sudo lo carga antes de eliminar privilegios.
• Este comportamiento permite la ejecución de código arbitrario como root.

Ejecución del Módulo NSS:

• El objeto compartido se compila con:

  root@kitploit:~

  gcc -shared -fPIC -Wl,-init,exploit_constructor -o libnss_/sudo2root1337.so.2 sudo2root.c
  

• El constructor se ejecuta antes de cualquier lógica main().

• Crea y compila un shell suid con:

  root@kitploit:~

  setreuid(0,0); setregid(0,0); execl("/bin/bash", "bash", NULL);
  

• Establece permisos mediante:

  root@kitploit:~

  chown 0:0 .suidshell && chmod 4755 .suidshell
  

Captura de Pantalla (PoC)

Agradecimientos

• Inspiración Original del PoC: pr0v3rbs/CVE-2025-32463_chwoot
• Exploit adaptado y mejorado por: MikiVirus

📢 Descargo de Responsabilidad

Este código se proporciona solo con fines educativos. El uso no autorizado de este código en sistemas que no posea o para los cuales no tenga permiso explícito para realizar pruebas es ilegal y poco ético. Siempre obtenga la autorización adecuada antes de realizar pruebas de seguridad.