CVE-2025-27591-Below

📌 Description

Ceci est un proof-of-concept (PoC) pour CVE-2025-27591, une vulnérabilité d'élévation de privilèges locale dans l'outil de surveillance système below.

Le problème vient de la gestion non sécurisée des fichiers journaux (/var/log/below/error_root.log) lorsqu'il est exécuté avec des privilèges élevés. En abusant de cela, un attaquant peut effectuer une attaque par lien symbolique et injecter un utilisateur malveillant dans /etc/passwd, obtenant ainsi un accès root.

⚙️ Affecté

• Binaire : /usr/bin/below
• Nécessite : la permission sudo pour exécuter below record
• Testé sur : machine HTB (nom spécifique non divulgué)

🔧 Étapes de l'exploit

1. Supprimer le fichier journal cible (s'il existe)
2. Créer un lien symbolique : /var/log/below/error_root.log → /etc/passwd
3. Exécuter la commande vulnérable : sudo /usr/bin/below record
4. Ajouter un utilisateur de niveau root à /etc/passwd
5. Vérifier que l'utilisateur a été créé
6. Ouvrir un shell root en tant qu'utilisateur injecté

🚀 Étapes d'exploitation

1. Cloner ce dépôt
   root@kitploit:~

   git clone https://github.com/Thekin-ctrl/CVE-2025-27591-Below.git
   cd CVE-2025-27591-Below
   python3 Exploit.py
   

🙏 Crédits

Cet exploit s'inspire d'un proof-of-concept antérieur de BridgerAlderson, disponible ici :

• https://github.com/BridgerAlderson/CVE-2025-27591-PoC.git

La version actuelle est une version simplifiée et adaptée écrite par moi à des fins éducatives et de pratique.