Chaîne d'exploitation CVE-2025-6018 + CVE-2025-6019

Cet exploit a été développé pour résoudre un défi HackTheBox ciblant openSUSE Leap 15.6.

Crédits

Cet exploit est basé sur les recherches originales de l'équipe de sécurité Qualys :

• Avis de sécurité : https://cdn2.qualys.com/2025/06/17/suse15-pam-udisks-lpe.txt
• CVE-2025-6018 : LPE d'un utilisateur non privilégié à allow_active dans le PAM d'openSUSE 15
• CVE-2025-6019 : LPE de allow_active à root dans libblockdev via udisks

Implémentation de référence supplémentaire :

• https://github.com/symphony2colour/CVE-2025-6019-udisks-lpe-no-image

Aperçu

Cet exploit enchaîne deux vulnérabilités pour réaliser une élévation de privilèges locale d'un utilisateur non privilégié jusqu'à root sur openSUSE Leap 15.6 :

1. CVE-2025-6018 : Exploite la configuration PAM pour obtenir les privilèges allow_active
2. CVE-2025-6019 : Exploite UDisks2/libblockdev pour passer de allow_active à root

Prérequis

• Système cible : openSUSE Leap 15.6
• Fichier image XFS avec un binaire bash SUID (voir ci-dessous)
• Accès SSH ou shell local en tant qu'utilisateur non privilégié

Création de l'image XFS

L'exploit nécessite une image de système de fichiers XFS pré-créée contenant un binaire bash SUID. Elle doit être créée sur une machine Linux où vous disposez des privilèges root :

dd if=/dev/zero of=xfs.image bs=1M count=400
mkfs.xfs xfs.image
mkdir -p /tmp/mnt
mount xfs.image /tmp/mnt
cp /bin/bash /tmp/mnt/bash
chmod 04755 /tmp/mnt/bash
umount /tmp/mnt

Vérifiez que l'image a été créée correctement :

file xfs.image
# Should output: "SGI XFS filesystem data (blksz 4096, inosz 256, v2 dirs)"

Fonctionnement

Étape 1 : CVE-2025-6018

• Crée ~/.pam_environment avec des surcharges XDG_SEAT et XDG_VTNR
• Fait croire à pam_systemd que vous êtes un utilisateur de console physique
• Accorde les privilèges polkit « allow_active »

Étape 2 : CVE-2025-6019

• Configure un périphérique de bouclage avec l'image XFS
• Déclenche le redimensionnement du système de fichiers via l'interface D-Bus d'UDisks2
• libblockdev monte XFS vers /tmp sans les options nosuid/nodev
• Exécute bash SUID depuis le système de fichiers monté pour obtenir root

Dépannage

Si l'exploit échoue :

• Vérifiez que l'image XFS est correcte : file xfs.image
• Assurez-vous de vous être déconnecté et reconnecté en SSH après la première exécution
• Essayez d'exécuter l'exploit plusieurs fois (sensible au minutage)
• Vérifiez que le service udisks2 est en cours d'exécution : systemctl status udisks2

Avertissement

Cet exploit est destiné uniquement à des fins éducatives et à des tests de sécurité autorisés. Utilisez-le de manière responsable et uniquement sur des systèmes que vous avez la permission de tester.