CVE-2025-6018 + CVE-2025-6019 エクスプロイトチェーン

このエクスプロイトは、openSUSE Leap 15.6 を標的とした HackTheBox チャレンジを解決するために開発されました。

クレジット

このエクスプロイトは、Qualys セキュリティチームによる元の研究に基づいています：

• アドバイザリ： https://cdn2.qualys.com/2025/06/17/suse15-pam-udisks-lpe.txt
• CVE-2025-6018: openSUSE 15 の PAM における、非特権ユーザーから allow_active への LPE
• CVE-2025-6019: udisks を介した libblockdev における、allow_active から root への LPE

追加のリファレンス実装：

• https://github.com/symphony2colour/CVE-2025-6019-udisks-lpe-no-image

概要

このエクスプロイトは、openSUSE Leap 15.6 上で非特権ユーザーから root へのローカル権限昇格を達成するために、2 つの脆弱性を連鎖させます：

1. CVE-2025-6018: PAM 設定を悪用して allow_active 権限を取得します
2. CVE-2025-6019: UDisks2/libblockdev を悪用して allow_active から root へ権限昇格します

要件

• 対象システム： openSUSE Leap 15.6
• SUID bash バイナリを含む XFS イメージファイル（下記参照）
• 非特権ユーザーとしての SSH またはローカルシェルアクセス

XFS イメージの作成

このエクスプロイトには、SUID bash バイナリを含む事前作成済みの XFS ファイルシステムイメージが必要です。これは、root 権限を持つ Linux マシン上で作成する必要があります：

dd if=/dev/zero of=xfs.image bs=1M count=400
mkfs.xfs xfs.image
mkdir -p /tmp/mnt
mount xfs.image /tmp/mnt
cp /bin/bash /tmp/mnt/bash
chmod 04755 /tmp/mnt/bash
umount /tmp/mnt

イメージが正しく作成されたことを確認します：

file xfs.image
# Should output: "SGI XFS filesystem data (blksz 4096, inosz 256, v2 dirs)"

動作の仕組み

ステップ 1: CVE-2025-6018

• XDG_SEAT と XDG_VTNR のオーバーライドを含む ~/.pam_environment を作成します
• pam_systemd を欺いて、あなたが物理コンソールユーザーであると思い込ませます
• "allow_active" の polkit 権限を付与します

ステップ 2: CVE-2025-6019

• XFS イメージでループデバイスをセットアップします
• UDisks2 D-Bus インターフェースを介してファイルシステムのリサイズをトリガーします
• libblockdev が nosuid/nodev フラグなしで XFS を /tmp にマウントします
• マウントされたファイルシステムから SUID bash を実行して root を取得します

トラブルシューティング

エクスプロイトが失敗した場合：

• XFS イメージが正しいことを確認する： file xfs.image
• 初回実行後に SSH を切断して再接続したことを確認する
• エクスプロイトを複数回実行してみる（タイミングに敏感です）
• udisks2 サービスが実行中であることを確認する： systemctl status udisks2

免責事項

このエクスプロイトは、教育目的および許可されたセキュリティテスト専用です。責任を持って、テストする許可を得たシステムでのみ使用してください。