CVE-2025-6018 + CVE-2025-6019 익스플로잇 체인

이 익스플로잇은 openSUSE Leap 15.6을 대상으로 한 HackTheBox 챌린지를 해결하기 위해 개발되었습니다.

크레딧

이 익스플로잇은 Qualys 보안 팀의 원본 연구를 기반으로 합니다:

• 권고: https://cdn2.qualys.com/2025/06/17/suse15-pam-udisks-lpe.txt
• CVE-2025-6018: openSUSE 15의 PAM에서 권한 없는 사용자에서 allow_active로의 LPE
• CVE-2025-6019: udisks를 통한 libblockdev에서 allow_active에서 root로의 LPE

추가 참조 구현:

• https://github.com/symphony2colour/CVE-2025-6019-udisks-lpe-no-image

개요

이 익스플로잇은 두 가지 취약점을 연결하여 openSUSE Leap 15.6에서 권한 없는 사용자에서 root로 로컬 권한 상승을 달성합니다:

1. CVE-2025-6018: PAM 구성을 악용하여 allow_active 권한 획득
2. CVE-2025-6019: UDisks2/libblockdev를 악용하여 allow_active에서 root로 권한 상승

요구 사항

• 대상 시스템: openSUSE Leap 15.6
• SUID bash 바이너리가 포함된 XFS 이미지 파일 (아래 참조)
• 권한 없는 사용자로서의 SSH 또는 로컬 셸 접근

XFS 이미지 생성

익스플로잇에는 SUID bash 바이너리가 포함된 사전 생성된 XFS 파일시스템 이미지가 필요합니다. 이는 root 권한이 있는 Linux 머신에서 생성해야 합니다:

dd if=/dev/zero of=xfs.image bs=1M count=400
mkfs.xfs xfs.image
mkdir -p /tmp/mnt
mount xfs.image /tmp/mnt
cp /bin/bash /tmp/mnt/bash
chmod 04755 /tmp/mnt/bash
umount /tmp/mnt

이미지가 올바르게 생성되었는지 확인:

file xfs.image
# Should output: "SGI XFS filesystem data (blksz 4096, inosz 256, v2 dirs)"

작동 방식

단계 1: CVE-2025-6018

• XDG_SEAT 및 XDG_VTNR 재정의가 포함된 ~/.pam_environment 생성
• pam_systemd를 속여 물리적 콘솔 사용자인 것처럼 인식하게 함
• "allow_active" polkit 권한 부여

단계 2: CVE-2025-6019

• XFS 이미지로 루프 장치 설정
• UDisks2 D-Bus 인터페이스를 통해 파일시스템 크기 조정 트리거
• libblockdev가 nosuid/nodev 플래그 없이 XFS를 /tmp에 마운트
• 마운트된 파일시스템에서 SUID bash를 실행하여 root 권한 획득

문제 해결

익스플로잇이 실패할 경우:

• XFS 이미지가 올바른지 확인: file xfs.image
• 첫 실행 후 SSH 연결을 해제하고 다시 연결했는지 확인
• 익스플로잇을 여러 번 실행해 보세요 (타이밍에 민감함)
• udisks2 서비스가 실행 중인지 확인: systemctl status udisks2

면책 조항

이 익스플로잇은 교육 목적 및 승인된 보안 테스트 전용입니다. 책임감 있게 사용하고 테스트 권한이 있는 시스템에서만 사용하세요.