CVE-2025-32463: sudo -R NSSインジェクションによるローカル権限昇格

概要

このPoCは、カスタムNSSモジュールと組み合わせたsudo -Rオプションの悪用により、Linuxシステム上でのローカル権限昇格を実証します。これは、chroot環境下でのnsswitch.confおよびNSS共有ライブラリの安全でない取り扱いに起因する脆弱性CVE-2025-32463を標的としています。

このPoC、**sudo2root**は、constructor属性を利用して権限を昇格させ、/usr/local/bin/.suidshellにsetuidルートシェルを配置するカスタムNSSモジュールをコンパイルすることで、元の手法を適応させています。

脆弱性の詳細

• 脆弱性: sudoによる-R chrootフラグの不適切な入力検証と安全でない使用。
• 影響: sudoアクセスを持つローカル攻撃者がrootとして任意のコードを実行でき、コンテナおよびユーザー分離を破壊します。
• 根本原因:
  • sudo -Rはルートディレクトリを変更しますが、権限を削除せず、環境をサニタイズしません。
  • NSSモジュールは、この新しいルート内の攻撃者が制御するパスからもロードされます。
• エクスプロイト戦略:
  1. 悪意のあるnsswitch.confとカスタムlibnss_*共有オブジェクトを含む偽のルートファイルシステムを作成します。
  2. 攻撃者が制御するNSSライブラリをsudoにロードさせます。
  3. 共有オブジェクトはロード時にコードを実行し（__attribute__((constructor))経由）、setuidルートシェルを配置し、権限を昇格させます。

PoCの概要

主要コンポーネント:

1. sudo2root.c – 悪意のあるNSSモジュール:

   • コンストラクタ関数を使用します:
     • setreuid(0,0)およびsetregid(0,0)でルート権限を取得
     • ルートシェル用の小さなCプログラムを作成
     • gccでコンパイル
     • 正しいSUIDパーミッションを設定

2. Bashエクスプロイトスクリプト:

   • 偽のchrootを準備:
     • etc/nsswitch.conf
     • カスタムNSSモジュールlibnss_/sudo2root1337.so.2
   • 以下のコマンドでエクスプロイトを起動:
     root@kitploit:~

     sudo -R sudo2root sudo2root
     

3. Setuidシェル:

   • 配置先: /usr/local/bin/.suidshell
   • 実行時にルート権限を保持:
     root@kitploit:~

     /usr/local/bin/.suidshell id
     

使用方法

chmod +x sudoinject.sh
./sudoinject.sh

エクスプロイト完了後、以下を実行:

/usr/local/bin/.suidshell
whoami  # => root

ファイル構造

sudoinject.sh                 # メインのエクスプロイトスクリプト
libnss_/sudo2root1337.so.2   # 悪意のあるNSSモジュール（コンパイル済み）
sudo2root/etc/nsswitch.conf  # 偽のモジュールを指すカスタムnsswitch
/usr/local/bin/.suidshell    # 最終的なsetuidルートシェル

技術概要:

sudo -Rの悪用:

• sudoの-R <dir>フラグは、コマンド実行前にルートディレクトリを変更します。
• このディレクトリにpasswd: /libnss_<name>.soを含むカスタムnsswitch.confがある場合、sudoは権限を削除する前にそれをロードします。
• この動作により、rootとして任意のコード実行が可能になります。

NSSモジュールの実行:

• 共有オブジェクトは次のようにコンパイルされます:

  root@kitploit:~

  gcc -shared -fPIC -Wl,-init,exploit_constructor -o libnss_/sudo2root1337.so.2 sudo2root.c
  

• コンストラクタはmain()ロジックの前に実行されます。

• suidシェルを作成し、コンパイル:

  root@kitploit:~

  setreuid(0,0); setregid(0,0); execl("/bin/bash", "bash", NULL);
  

• パーミッションを設定:

  root@kitploit:~

  chown 0:0 .suidshell && chmod 4755 .suidshell
  

スクリーンショット (PoC)

謝辞

• 元のPoCのインスピレーション: pr0v3rbs/CVE-2025-32463_chwoot
• エクスプロイトの適応と改善: MikiVirus

📢 免責事項

このコードは教育目的のみで提供されています。自分が所有していない、または明示的なテスト許可を得ていないシステムでの不正使用は違法であり、非倫理的です。セキュリティテストを行う前に、必ず適切な許可を取得してください。