CVE-2025-27591-Below

📌 Descripción

Este es un exploit prueba de concepto (PoC) para CVE-2025-27591, una vulnerabilidad de escalada local de privilegios en la herramienta de monitorización del sistema below.

El problema surge de la gestión insegura de los archivos de registro (/var/log/below/error_root.log) cuando se ejecuta con privilegios elevados. Abusando de esto, un atacante puede realizar un ataque de symlink e inyectar un usuario malicioso en /etc/passwd, otorgando efectivamente acceso root.

⚙️ Afectados

• Binario: /usr/bin/below
• Requiere: permiso sudo para ejecutar below record
• Probado en: máquina HTB (nombre específico omitido)

🔧 Pasos del exploit

1. Eliminar el archivo de registro objetivo (si existe)
2. Crear un symlink: /var/log/below/error_root.log → /etc/passwd
3. Ejecutar el comando vulnerable: sudo /usr/bin/below record
4. Añadir un usuario de nivel root a /etc/passwd
5. Verificar que el usuario se haya creado
6. Obtener un shell root como el usuario inyectado

🚀 Pasos de explotación

1. Clonar este repositorio
   root@kitploit:~

   git clone https://github.com/Thekin-ctrl/CVE-2025-27591-Below.git
   cd CVE-2025-27591-Below
   python3 Exploit.py
   

🙏 Créditos

Este exploit se inspiró en una prueba de concepto anterior de BridgerAlderson, disponible aquí:

• https://github.com/BridgerAlderson/CVE-2025-27591-PoC.git

La versión actual es una versión simplificada y adaptada escrita por mí con fines educativos y de práctica.