CVE-2025-32463: sudo -R NSS इंजेक्शन के माध्यम से स्थानीय विशेषाधिकार वृद्धि

सारांश

यह PoC Linux सिस्टम पर स्थानीय विशेषाधिकार वृद्धि का प्रदर्शन करता है, जो sudo -R विकल्प के दुरुपयोग और एक कस्टम NSS मॉड्यूल के साथ मिलकर काम करता है। यह CVE-2025-32463 भेद्यता को लक्षित करता है, जो chroot वातावरण में nsswitch.conf और NSS साझा लाइब्रेरियों के असुरक्षित हैंडलिंग से उत्पन्न होती है।

यह PoC, sudo2root, एक कस्टम NSS मॉड्यूल को संकलित करके मूल तकनीक को अनुकूलित करता है जो विशेषाधिकार बढ़ाने और /usr/local/bin/.suidshell में एक setuid रूट शेल गिराने के लिए constructor विशेषता का लाभ उठाता है।

भेद्यता विवरण

• भेद्यता: sudo द्वारा -R chroot फ्लैग का अनुचित इनपुट सत्यापन और असुरक्षित उपयोग।
• प्रभाव: sudo पहुँच वाला एक स्थानीय हमलावर रूट के रूप में मनमाना कोड निष्पादित कर सकता है, जिससे कंटेनर और उपयोगकर्ता अलगाव टूट जाता है।
• मूल कारण:
  • sudo -R रूट निर्देशिका बदलता है लेकिन विशेषाधिकार नहीं छोड़ता या पर्यावरण को स्वच्छ नहीं करता।
  • NSS मॉड्यूल इस नए रूट के अंदर हमलावर-नियंत्रित पथों से भी लोड होते हैं।
• शोषण रणनीति:
  1. दुर्भावनापूर्ण nsswitch.conf और कस्टम libnss_* साझा ऑब्जेक्ट के साथ एक नकली रूट फाइलसिस्टम बनाएं।
  2. sudo को हमलावर-नियंत्रित NSS लाइब्रेरी लोड करने के लिए छलें।
  3. साझा ऑब्जेक्ट लोड होने पर कोड निष्पादित करता है (__attribute__((constructor)) के माध्यम से), एक setuid रूट शेल गिराता है, और विशेषाधिकार बढ़ाता है।

PoC अवलोकन

मुख्य घटक:

1. sudo2root.c – दुर्भावनापूर्ण NSS मॉड्यूल:

   • एक कंस्ट्रक्टर फ़ंक्शन का उपयोग करता है जो:
     • setreuid(0,0) और setregid(0,0) के माध्यम से रूट प्राप्त करता है
     • रूट शेल के लिए एक छोटा C प्रोग्राम लिखता है
     • इसे gcc से संकलित करता है
     • सही SUID अनुमतियाँ सेट करता है

2. Bash शोषण स्क्रिप्ट:

   • नकली chroot तैयार करती है जिसमें शामिल हैं:
     • etc/nsswitch.conf
     • कस्टम libnss_/sudo2root1337.so.2 NSS मॉड्यूल
   • शोषण इस प्रकार लॉन्च करती है:
     root@kitploit:~

     sudo -R sudo2root sudo2root
     

3. Setuid शेल:

   • लिखा गया: /usr/local/bin/.suidshell
   • निष्पादन पर रूट बनाए रखता है:
     root@kitploit:~

     /usr/local/bin/.suidshell id
     

उपयोग

chmod +x sudoinject.sh
./sudoinject.sh

शोषण पूरा होने के बाद, चलाएँ:

/usr/local/bin/.suidshell
whoami  # => root

फ़ाइल संरचना

sudoinject.sh                 # मुख्य शोषण स्क्रिप्ट
libnss_/sudo2root1337.so.2   # दुर्भावनापूर्ण NSS मॉड्यूल (संकलित)
sudo2root/etc/nsswitch.conf  # कस्टम nsswitch जो नकली मॉड्यूल की ओर इंगित करता है
/usr/local/bin/.suidshell    # अंतिम setuid रूट शेल

तकनीकी अवलोकन:

sudo -R का शोषण:

• sudo का -R <dir> फ्लैग कमांड निष्पादित करने से पहले रूट निर्देशिका बदलता है।
• यदि इस निर्देशिका में passwd: /libnss_<name>.so के साथ एक कस्टम nsswitch.conf है, तो sudo इसे विशेषाधिकार छोड़ने से पहले लोड करता है।
• यह व्यवहार रूट के रूप में मनमाना कोड निष्पादन की अनुमति देता है।

NSS मॉड्यूल निष्पादन:

• साझा ऑब्जेक्ट इस प्रकार संकलित किया जाता है:

  root@kitploit:~

  gcc -shared -fPIC -Wl,-init,exploit_constructor -o libnss_/sudo2root1337.so.2 sudo2root.c
  

• कंस्ट्रक्टर किसी भी main() तर्क से पहले चलता है।

• एक suid शेल बनाता और संकलित करता है:

  root@kitploit:~

  setreuid(0,0); setregid(0,0); execl("/bin/bash", "bash", NULL);
  

• अनुमतियाँ इस प्रकार सेट करता है:

  root@kitploit:~

  chown 0:0 .suidshell && chmod 4755 .suidshell
  

स्क्रीनशॉट (PoC)

आभार

• मूल PoC प्रेरणा: pr0v3rbs/CVE-2025-32463_chwoot
• शोषण अनुकूलित और सुधारित किया गया: MikiVirus

📢 अस्वीकरण

यह कोड केवल शैक्षिक उद्देश्यों के लिए प्रदान किया गया है। इस कोड का उन सिस्टमों पर अनधिकृत उपयोग जिनके आप मालिक नहीं हैं या जिनके परीक्षण की आपको स्पष्ट अनुमति नहीं है, अवैध और अनैतिक है। सुरक्षा परीक्षण करने से पहले हमेशा उचित प्राधिकरण प्राप्त करें।