CVE-2025-32463-Sudo-Chroot-Escape

Description

Ce dépôt contient une preuve de concept (PoC) basée sur Python pour CVE-2025-32463, une vulnérabilité d'escalade de privilèges locaux dans les versions de sudo 1.9.14 à 1.9.17. Lorsqu'un utilisateur a des privilèges sudo pour exécuter une commande dans un environnement chroot (option -R), un attaquant peut abuser du mécanisme Name Service Switch (NSS) pour charger un objet partagé malveillant. Cela permet à l'attaquant de s'échapper du chroot et d'exécuter du code arbitraire en tant qu'utilisateur root.

Cet exploit a été inspiré par le projet CVE-2025-32463-POC de K1tt3h.

Avertissement

Ce script est fourni uniquement à des fins éducatives et de tests de pénétration autorisés. Toute utilisation non autorisée de ce script contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite est illégale et contraire à l'éthique. L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages causés par ce script.

À propos de la vulnérabilité

• ID CVE : CVE-2025-32463
• Composant : Sudo (option --chroot)
• Impact : Exécution de code arbitraire en tant que root en trompant l'éditeur de liens dynamique pour charger un module NSS (Name Service Switch) malveillant.
• Vecteur d'attaque : Local (nécessite des privilèges sudo avec l'option chroot activée)

Fonctionnalités

• Crée et compile automatiquement la charge utile C malveillante.
• Utilise un répertoire temporaire pour tous les artefacts, garantissant qu'aucun fichier n'est laissé sur le système.
• Affiche un statut animé pour chaque étape de l'exploit, confirmant son achèvement.

Prérequis

• Python 3.x
• gcc installé pour compiler la charge utile.

Utilisation

git clone https://github.com/nelissandro/CVE-2025-32463-Sudo-Chroot-Escape.git
cd CVE-2025-32463-Sudo-Chroot-Escape
python3 exploit.py

Comment ça marche

1. Le script écrit une charge utile C dans un fichier ; cette charge utile contient une fonction __attribute__((constructor)) conçue pour lancer un shell root dès son exécution.
2. Il crée ensuite un répertoire temporaire pour servir d'environnement chroot factice, accompagné d'un fichier /etc/nsswitch.conf malveillant.
3. Le fichier de configuration malveillant est configuré pour tromper la bibliothèque C du système (glibc) en lui faisant charger une bibliothèque personnalisée (libnss_privesc.so.2) pour gérer les recherches de mots de passe.
4. La charge utile C est compilée dans le fichier objet partagé libnss_privesc.so.2 et placée là où l'éditeur de liens dynamique peut le trouver.
5. Lorsque sudo est exécuté avec l'option -R, il entre dans le chroot, lit la configuration malveillante et charge notre objet partagé, déclenchant le constructeur et lançant un shell root.