CVE-2025-32463: Escalation dei privilegi locali tramite iniezione NSS in sudo -R

Riepilogo

Questo PoC dimostra l'escalation dei privilegi locali su sistemi Linux tramite l'abuso dell'opzione sudo -R in combinazione con un modulo NSS personalizzato. Prende di mira la vulnerabilità CVE-2025-32463, che deriva dalla gestione non sicura di nsswitch.conf e delle librerie condivise NSS in un ambiente chroot.

Questo PoC, sudo2root, adatta la tecnica originale compilando un modulo NSS personalizzato che sfrutta l'attributo constructor per escalare i privilegi e rilasciare una shell root setuid in /usr/local/bin/.suidshell.

Dettagli della vulnerabilità

• Vulnerabilità: Convalida dell'input impropria e uso non sicuro del flag chroot -R da parte di sudo.
• Impatto: Un attaccante locale con accesso sudo può eseguire codice arbitrario come root, infrangendo l'isolamento di container e utenti.
• Causa principale:
  • sudo -R cambia la directory root ma non abbassa i privilegi né sana l'ambiente.
  • I moduli NSS vengono caricati anche da percorsi controllati dall'attaccante all'interno di questa nuova root.
• Strategia di sfruttamento:
  1. Creare un filesystem root falso con nsswitch.conf malevolo e un oggetto condiviso libnss_* personalizzato.
  2. Indurre sudo a caricare la libreria NSS controllata dall'attaccante.
  3. L'oggetto condiviso esegue codice al caricamento (tramite __attribute__((constructor))), rilascia una shell root setuid ed esegue l'escalation dei privilegi.

Panoramica del PoC

Componenti chiave:

1. sudo2root.c – Modulo NSS malevolo:

   • Usa una funzione constructor che:
     • Ottiene i privilegi di root tramite setreuid(0,0) e setregid(0,0)
     • Scrive un piccolo programma C per una shell root
     • Lo compila con gcc
     • Imposta i permessi SUID corretti

2. Script di exploit Bash:

   • Prepara la chroot finta con:
     • etc/nsswitch.conf
     • Modulo NSS personalizzato libnss_/sudo2root1337.so.2
   • Lancia l'exploit tramite:
     root@kitploit:~

     sudo -R sudo2root sudo2root
     

3. Shell Setuid:

   • Scritta in: /usr/local/bin/.suidshell
   • Mantiene i privilegi di root all'esecuzione:
     root@kitploit:~

     /usr/local/bin/.suidshell id
     

Utilizzo

chmod +x sudoinject.sh
./sudoinject.sh

Dopo che l'exploit è stato completato, esegui:

/usr/local/bin/.suidshell
whoami  # => root

Struttura dei file

sudoinject.sh                 # Main exploit script
libnss_/sudo2root1337.so.2   # Malicious NSS module (compiled)
sudo2root/etc/nsswitch.conf  # Custom nsswitch pointing to fake module
/usr/local/bin/.suidshell    # Final setuid root shell

Panoramica tecnica:

Sfruttare sudo -R:

• Il flag -R <dir> di sudo cambia la directory root prima di eseguire un comando.
• Se questa directory contiene un nsswitch.conf personalizzato con passwd: /libnss_<name>.so, sudo lo carica prima di abbassare i privilegi.
• Questo comportamento consente l'esecuzione di codice arbitrario come root.

Esecuzione del modulo NSS:

• L'oggetto condiviso viene compilato con:

  root@kitploit:~

  gcc -shared -fPIC -Wl,-init,exploit_constructor -o libnss_/sudo2root1337.so.2 sudo2root.c
  

• Il constructor viene eseguito prima di qualsiasi logica main().

• Crea e compila una shell suid con:

  root@kitploit:~

  setreuid(0,0); setregid(0,0); execl("/bin/bash", "bash", NULL);
  

• Imposta i permessi tramite:

  root@kitploit:~

  chown 0:0 .suidshell && chmod 4755 .suidshell
  

Schermata (PoC)

Riconoscimenti

• Ispirazione originale del PoC: pr0v3rbs/CVE-2025-32463_chwoot
• Exploit adattato e migliorato da: MikiVirus

📢 Disclaimer

Questo codice è fornito solo a scopo educativo. L'uso non autorizzato di questo codice su sistemi di cui non si è proprietari o per cui non si ha il permesso esplicito di testare è illegale e non etico. Ottieni sempre la dovuta autorizzazione prima di effettuare test di sicurezza.