CVE-2025-32463: Escalação Local de Privilégios via Injeção NSS sudo -R

Resumo

Este PoC demonstra escalada local de privilégios em sistemas Linux por meio do abuso da opção sudo -R em conjunto com um módulo NSS personalizado. Ele visa a vulnerabilidade CVE-2025-32463, que decorre do tratamento inseguro do nsswitch.conf e das bibliotecas compartilhadas NSS em um ambiente chroot.

Este PoC, sudo2root, adapta a técnica original ao compilar um módulo NSS personalizado que aproveita o atributo constructor para escalar privilégios e instalar um shell root setuid em /usr/local/bin/.suidshell.

Detalhes da Vulnerabilidade

• Vulnerabilidade: Validação de entrada inadequada e uso inseguro da flag chroot -R pelo sudo.
• Impacto: Um atacante local com acesso sudo pode executar código arbitrário como root, quebrando o isolamento de contêineres e de usuários.
• Causa raiz:
  • O sudo -R altera o diretório raiz, mas não remove privilégios nem sanitiza o ambiente.
  • Módulos NSS são carregados até mesmo de caminhos controlados pelo atacante dentro dessa nova raiz.
• Estratégia do exploit:
  1. Criar um sistema de arquivos raiz falso com nsswitch.conf malicioso e um objeto compartilhado libnss_* personalizado.
  2. Enganar o sudo para que ele carregue a biblioteca NSS controlada pelo atacante.
  3. O objeto compartilhado executa código ao ser carregado (via __attribute__((constructor))), instala um shell root setuid e escala privilégios.

Visão Geral do PoC

Componentes Principais:

1. sudo2root.c – Módulo NSS malicioso:

   • Usa uma função construtora que:
     • Obtém root via setreuid(0,0) e setregid(0,0)
     • Escreve um pequeno programa C para um shell root
     • Compila-o com gcc
     • Define as permissões SUID corretas

2. Script de exploit em Bash:

   • Prepara o chroot falso com:
     • etc/nsswitch.conf
     • Módulo NSS personalizado libnss_/sudo2root1337.so.2
   • Executa o exploit via:
     root@kitploit:~

     sudo -R sudo2root sudo2root
     

3. Shell setuid:

   • Gravado em: /usr/local/bin/.suidshell
   • Mantém root na execução:
     root@kitploit:~

     /usr/local/bin/.suidshell id
     

Uso

chmod +x sudoinject.sh
./sudoinject.sh

Após o exploit ser concluído, execute:

/usr/local/bin/.suidshell
whoami  # => root

Estrutura de Arquivos

sudoinject.sh                 # Main exploit script
libnss_/sudo2root1337.so.2   # Malicious NSS module (compiled)
sudo2root/etc/nsswitch.conf  # Custom nsswitch pointing to fake module
/usr/local/bin/.suidshell    # Final setuid root shell

Visão Geral Técnica:

Explorando o sudo -R:

• A flag -R <dir> do sudo altera o diretório raiz antes de executar um comando.
• Se esse diretório tiver um nsswitch.conf personalizado com passwd: /libnss_<name>.so, o sudo o carrega antes de remover privilégios.
• Esse comportamento permite a execução de código arbitrário como root.

Execução do Módulo NSS:

• O objeto compartilhado é compilado com:

  root@kitploit:~

  gcc -shared -fPIC -Wl,-init,exploit_constructor -o libnss_/sudo2root1337.so.2 sudo2root.c
  

• O construtor executa antes de qualquer lógica do main().

• Cria e compila um shell suid com:

  root@kitploit:~

  setreuid(0,0); setregid(0,0); execl("/bin/bash", "bash", NULL);
  

• Define as permissões via:

  root@kitploit:~

  chown 0:0 .suidshell && chmod 4755 .suidshell
  

Captura de Tela (PoC)

Agradecimentos

• Inspiração original do PoC: pr0v3rbs/CVE-2025-32463_chwoot
• Exploit adaptado e melhorado por: MikiVirus

📢 Aviso Legal

Este código é fornecido apenas para fins educacionais. O uso não autorizado deste código em sistemas que você não possui ou sem permissão explícita para testar é ilegal e antiético. Sempre obtenha a devida autorização antes de realizar testes de segurança.