CVE-2025-27591 PoC: Escalatazione dei Privilegi Locali in Below < v0.9.0

Proof of Concept per CVE-2025-27591, una vulnerabilità che consente agli utenti locali non privilegiati di elevare i propri privilegi a root tramite attacchi di symlink.

🕵️‍♂️ Dettagli Tecnici

La vulnerabilità colpisce il servizio Below (versioni precedenti alla v0.9.0). Crea una directory /var/log/below con permessi scrivibili da tutti (0777), consentendo agli utenti locali non privilegiati di spostare link simbolici e manipolare file critici come /etc/shadow, ottenendo l'elevazione a root.

🧩 Impatto

Un utente locale non privilegiato può elevarsi a root:

• Creando un symlink in /var/log/below verso un file di sistema sensibile.
• Attivando il servizio con sudo (es. sudo below snapshot), causando la scrittura di Below sul symlink con privilegi di root.

✅ Requisiti

• /var/log/below/ deve avere permessi scrivibili da tutti (0777) e contenere il file error_root.log.
• Devi avere il permesso di usare sudo /usr/bin/below.

foo@victim:~$ ls -l /var/log/ | grep below
drwxrwxrwx  3 root      root               4096 Jul  8 20:45 below

🛠️ Utilizzo

Avremo bisogno di privilegi a livello sudoers.

foo@victim:~$ sudo -l
Matching Defaults entries for jacob on victim:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin, use_pty

User foo may run the following commands on victim:
    (ALL : ALL) NOPASSWD: /usr/bin/below

Una volta ottenuto il file poc.sh, gli daremo i permessi necessari, lo eseguiremo e saremo root.

foo@victim:/tmp$ chmod +x poc.sh
foo@victim:/tmp$ ./poc.sh 
evil@victim:/tmp# id
uid=0(evil) gid=0(root) groups=0(root)

✅ Correzioni Ufficiali

Aggiornare a Below v0.9.0 o successiva, che rimuove la logica chmod insicura e si basa su funzionalità delle unità systemd come LogsDirectory=below

⚖️ Note Legali

• Questo script è a scopo educativo. Ottenere sempre il permesso esplicito prima dei test.

📚 Riferimenti

• NVD
• wiz.io
• SUSE Security