CVE-2025-27591 Exploit - Ataque de Link Simbólico no Below Logger

Um exploit de escalonamento de privilégios baseado em Bash direcionado à ferramenta de monitoramento de desempenho do sistema below. Este exploit reformulado aproveita uma vulnerabilidade de link simbólico no mecanismo de registro para injetar um usuário root no /etc/passwd, obtendo acesso root completo.

Créditos

Descoberto e reportado por Matthias Gerstner @ SUSE - Aviso de Segurança

Detalhes da Vulnerabilidade

• CVE: CVE-2025-27591
• Componente Afetado: /usr/bin/below (monitor de desempenho do sistema do Facebook)
• Versões Afetadas: versões do below com diretórios de log graváveis por qualquer usuário
• Tipo de Vulnerabilidade: Ataque de Link Simbólico / Escalonamento de Privilégio
• Vetor de Ataque: /var/log/below/error_root.log → /etc/passwd
• Pontuação CVSS: Alta (Escalonamento de Privilégio para Root)

Visão Geral

A ferramenta de monitoramento below registra erros em /var/log/below/error_root.log quando executada com privilégios elevados. Se o diretório de log for gravável por qualquer usuário, um atacante pode:

1. Criar um link simbólico de error_root.log para /etc/passwd
2. Acionar o comando below record para escrever mensagens de erro no link simbólico
3. Injetar manualmente uma entrada de usuário maliciosa com UID=0 (privilégios de root)
4. Abrir um shell root usando o usuário recém-criado

Este exploit automatiza todo o processo com mecanismos de fallback inteligentes para lidar com várias configurações de sistema.

Diagrama de Fluxo do Exploit

flowchart TD
    A[Iniciar Exploit] --> B[Obter Nome de Usuário do Usuário]
    B --> C{Verificar /var/log/below<br/>Gravável por Todos?}
    C -->|Não| D[Sair: Não Vulnerável]
    C -->|Sim| E[Remover error_root.log existente]
    E --> F[Criar Link Simbólico:<br/>error_root.log → /etc/passwd]
    F --> G{Link Simbólico Criado<br/>com Sucesso?}
    G -->|Não| D
    G -->|Sim| H[Executar: sudo below record]
    H --> I[Aguardar 3 segundos para registro]
    I --> J[Matar processo below]
    J --> K{Payload em<br/>/etc/passwd?}
    K -->|Sim| M[Caminho de Sucesso]
    K -->|Não| L[Tentar Injeção Manual:<br/>echo payload >> link simbólico]
    L --> N{Injeção Manual<br/>com Sucesso?}
    N -->|Não| O[Tentar Fallback:<br/>sudo tee -a]
    N -->|Sim| M
    O --> P{Fallback<br/>com Sucesso?}
    P -->|Não| D
    P -->|Sim| M
    M --> Q[Verificar Payload em /etc/passwd]
    Q --> R[Desabilitar Trap de Limpeza]
    R --> S[Executar: su username]
    S --> T[Shell Root Obtido]

    style A fill:#e1f5ff
    style T fill:#90EE90
    style D fill:#ffcccb
    style M fill:#98fb98

Detalhes Técnicos

Etapas de Exploração

1. Fase de Pré-Verificação

   • Verificar se o diretório /var/log/below existe
   • Verificar se o diretório tem permissões de gravação para todos (o+w)
   • Testar a capacidade de criação de link simbólico

2. Fase de Configuração

   • Remover qualquer arquivo error_root.log existente
   • Criar link simbólico: /var/log/below/error_root.log → /etc/passwd
   • Verificar se o link simbólico aponta para o alvo correto

3. Fase de Injeção (Método Principal)

   • Executar sudo below record em segundo plano
   • Permitir que o processo execute por 3 segundos para acionar o registro de erros
   • Matar o processo para evitar registro contínuo
   • Verificar se as mensagens de erro corromperam o /etc/passwd de forma útil

4. Fase de Injeção (Métodos de Fallback)

   • Método 1: Anexação direta via link simbólico (echo >> link simbólico)
   • Método 2: Usar sudo com tee (sudo tee -a)

5. Fase de Abertura de Shell

   • Verificar se o usuário malicioso existe no /etc/passwd
   • Desabilitar traps de limpeza para evitar remoção
   • Executar su <username> para obter shell root

Estrutura do Payload

A entrada injetada no /etc/passwd segue este formato:

username::0:0:username:/root:/bin/bash

Detalhamento dos Campos:

• username: Nome de usuário fornecido (padrão: "0xdtc")
• ::: Campo de senha vazio (nenhuma senha necessária)
• 0:0: UID=0, GID=0 (privilégios de root)
• username: Campo GECOS (descrição do usuário)
• /root: Diretório home
• /bin/bash: Shell de login

Pré-requisitos

• Sistema alvo executando um binário below vulnerável
• Diretório /var/log/below deve ser gravável por todos os usuários
• O usuário deve ter acesso sudo para executar below record
• Ambiente de shell Bash

Uso

Execução Básica

# Tornar o script executável
chmod +x CVE-2025-27591

# Executar o exploit
./CVE-2025-27591

Prompts Interativos

========================================
  CVE-2025-27591 Exploit (Bash)
========================================

[*] Este exploit criará um novo usuário root no /etc/passwd
[?] Insira o nome de usuário para o novo usuário root (padrão: 0xdtc): meuusuario
[+] Usando nome de usuário: meuusuario

Exemplo de Saída

0xdtc@kali:/tmp$ ./CVE-2025-27591
========================================
  CVE-2025-27591 Exploit (Bash)
========================================

[*] Este exploit criará um novo usuário root no /etc/passwd
[?] Insira o nome de usuário para o novo usuário root (padrão: 0xdtc): 0xdtc
[+] Usando nome de usuário: 0xdtc

[*] Verificando vulnerabilidade CVE-2025-27591
[+] /var/log/below é gravável por todos
[*] Testando criação de link simbólico
[+] Teste de link simbólico bem-sucedido
[+] Alvo está vulnerável

[*] Iniciando exploração
[+] Payload escrito em /tmp/exploit_payload
[*] Criando link simbólico: /var/log/below/error_root.log -> /etc/passwd
[+] Link simbólico criado
[*] Executando 'sudo below record' para acionar registro
[*] Iniciado 'below record' com PID: 12345
[*] Verificando se o payload foi escrito
[*] Tentando injeção manual
[*] Anexando payload ao /etc/passwd via link simbólico
[+] Payload anexado
[+] Exploração concluída! Payload está em /etc/passwd
[*] Abrindo shell root via 'su 0xdtc'
[*] A senha deve estar vazia, apenas pressione Enter

root@kali:/tmp# whoami
root

Recursos

Tratamento Inteligente de Bloqueios

O script inclui múltiplos mecanismos de fallback para lidar com várias configurações de sistema:

1. Tratamento de Arquivos Existentes

   • Detecta e remove automaticamente arquivos de log existentes
   • Lida com arquivos regulares e links simbólicos existentes
   • Valida o alvo do link simbólico antes de prosseguir

2. Múltiplos Métodos de Injeção

   • Principal: Acionar via registro de erro do below record
   • Fallback 1: Anexação direta ao link simbólico
   • Fallback 2: Escrita privilegiada usando sudo tee

3. Gerenciamento de Processos

   • Mata automaticamente processos below pendentes
   • Previne exaustão de recursos
   • Lida com limpeza de processos em caso de falha

4. Detecção de Re-execução

   • Verifica se o payload já existe no /etc/passwd
   • Pula a exploração se o usuário já foi criado
   • Abre shell diretamente na re-execução

Recursos de Qualidade de Código

• Comentários Abrangentes: Todas as funções e etapas críticas documentadas
• Cabeçalhos de Seção: Código organizado em seções lógicas
• Tratamento de Erros: Verificação adequada de erros e feedback ao usuário
• Saída Limpa: Handlers de trap para limpeza graciosa em caso de falha
• Dependências Mínimas: Bash puro com ferramentas Unix padrão

Estrutura de Arquivos

.
├── CVE-2025-27591           # Script principal de exploração
├── README.md           # Esta documentação
└── /tmp/exploit_payload # Arquivo de payload temporário (criado em tempo de execução)