stp1t/cve-2025-27591Exploit para CVE-2025-27591, una escalada de privilegios local en el servicio Below, aprovechando un directorio escribible por el mundo y un ataque de enlace simbólico para modificar /etc/passwd y obtener acceso root.
Solo con fines educativos
Creado para la máquina HTB "Outbound"
CVE-2025-27591 es una vulnerabilidad de escalada de privilegios local para el servicio Below en versiones anteriores a la 0.9.0.
El servicio crea un directorio escribible por todos en /var/log/below mientras se ejecuta con privilegios de root. Al interactuar con el archivo de registro /var/log/below/error_root.log, el servicio verifica si el archivo tiene permisos 666. Si no, los permisos se cambian a 666. Dado que el directorio es escribible por todos, el usuario puede eliminar el archivo error_root.log y reemplazarlo con un enlace simbólico que apunte a /etc/passwd.
La próxima vez que el servicio intente interactuar con error_root.log, en su lugar interactuará con el enlace simbólico que apunta a /etc/passwd, cambiando sus permisos a 666. Ahora /etc/passwd es escribible por usuarios no privilegiados y la línea de root se puede reemplazar con root::0:0:root:/root:/bin/bash, lo que permite cambiar a root sin necesidad de contraseña.
