CVE-2025-27591-Below

📌 Descrizione

Questa è una prova di concetto (PoC) per CVE-2025-27591, una vulnerabilità di escalation dei privilegi locali nel tool di monitoraggio di sistema below.

Il problema deriva dalla gestione non sicura dei file di log (/var/log/below/error_root.log) quando eseguito con privilegi elevati. Abusando di ciò, un attaccante può effettuare un attacco di symlink e iniettare un utente malevolo in /etc/passwd, ottenendo di fatto accesso root.

⚙️ Versioni Affette

• Binario: /usr/bin/below
• Richiede: permesso sudo per eseguire below record
• Testato su: macchina HTB (nome specifico omesso)

🔧 Passaggi dello Sfruttamento

1. Elimina il file di log di destinazione (se esiste)
2. Crea un symlink: /var/log/below/error_root.log → /etc/passwd
3. Esegui il comando vulnerabile: sudo /usr/bin/below record
4. Aggiungi un utente con privilegi root a /etc/passwd
5. Verifica che l'utente sia stato creato
6. Genera una shell root come l'utente iniettato

🚀 Passaggi dell'Exploit

1. Clona questo repository
   root@kitploit:~

   git clone https://github.com/Thekin-ctrl/CVE-2025-27591-Below.git
   cd CVE-2025-27591-Below
   python3 Exploit.py
   

🙏 Crediti

Questo exploit è stato ispirato da una precedente prova di concetto di BridgerAlderson, disponibile qui:

• https://github.com/BridgerAlderson/CVE-2025-27591-PoC.git

La versione attuale è una versione semplificata e adattata scritta da me a scopo educativo e di pratica.