danil-koltsov/below-log-race-pocCVE-2025-27591에 대한 PoC – 아래 모니터링 도구에서의 로컬 권한 상승. 공격자는 해당 로그 파일을 /etc/passwd에 심볼릭 링크로 연결하여 루트 계정을 주입하고 전체 시스템을 장악할 수 있습니다.
이 저장소는 CVE-2025-27591에 대한 개념 증명 익스플로잇을 포함하고 있습니다. 이는 below 유틸리티의 권한 상승 취약점으로,
문제는 below가 /var/log/below/ 아래의 로그 파일을 잘못 처리하여 공격자가 로그를 /etc/passwd와 같은 민감한 파일에 대한 심볼릭 링크로 대체할 수 있게 하는 데 있습니다.
이를 이용하여 권한이 없는 사용자가 새로운 root 사용자 항목을 삽입하고 권한을 상승시킬 수 있습니다.
익스플로잇은 간단한 Bash 스크립트(exploit_CVE-2025-27591.sh)로 구현되며 다음을 수행합니다:
/etc/passwd를 백업합니다./var/log/below/error_root.log에서 /etc/passwd로의 악성 심볼릭 링크를 생성합니다./etc/passwd가 쓰기 가능해질 때까지 below를 반복 실행합니다.root2, 비밀번호: 1)를 주입합니다.su - root2로 대화형 root 셸 액세스를 제공합니다.chmod +x exploit_CVE-2025-27591.sh
./exploit_CVE-2025-27591.sh
su - root2 # password: 1