stp1t/cve-2025-27591CVE-2025-27591のエクスプロイト。Belowサービスのローカル特権昇格で、ワールド書き込み可能なディレクトリとシンボリックリンク攻撃を利用して/etc/passwdを変更し、rootアクセスを取得する。
教育目的のみ
HTB マシン "Outbound" 用に作成
CVE-2025-27591 は、0.9.0 より前のバージョンのサービス Below に影響するローカル権限昇格の脆弱性です。
このサービスは、root 権限で実行中に、/var/log/below に誰でも書き込み可能なディレクトリを作成します。ログファイル /var/log/below/error_root.log を操作するとき、サービスはファイルのパーミッションが 666 であるかどうかを確認します。そうでない場合は、パーミッションが 666 に変更されます。ディレクトリが誰でも書き込み可能なため、ユーザーは error_root.log ファイルを削除し、/etc/passwd を指すシンボリックリンクに置き換えることができます。次にサービスが error_root.log を操作しようとすると、代わりに /etc/passwd を指すシンボリックリンクを操作し、そのパーミッションを 666 に変更します。これで /etc/passwd は非特権ユーザーでも書き込み可能になり、root の行を root::0:0:root:/root:/bin/bash に置き換えることで、パスワードを必要とせずに root へ切り替えることが可能になります。
