robbin0919/cve-2025-6019Análise técnica e prova de conceito para CVE-2025-6019, uma vulnerabilidade de escalada de privilégio local em libblockdev e udisks2, permitindo acesso root através de imagens XFS manipuladas.
CVE-2025-6019 é uma vulnerabilidade de elevação de privilégio local (LPE) descoberta na biblioteca libblockdev, que interage com o daemon udisks2 e o Polkit.
Um atacante local com a permissão allow_active do Polkit (geralmente o usuário que está usando fisicamente o computador) pode explorar a forma como o libblockdev interage com o daemon udisks. O atacante pode criar uma imagem XFS maliciosa contendo um shell SUID-root e enganar o udisks para montar essa imagem sem as flags de segurança como nosuid e nodev. Isso permite que o atacante execute o shell SUID-root e obtenha privilégios totais de root no sistema.
Todo o fluxo de ataque pode ser dividido em três fases: preparação, transferência e gatilho. A imagem maliciosa pode ser preparada antecipadamente em qualquer sistema.
Fase de Preparação (na própria máquina do atacante): O atacante cria um arquivo de imagem de um sistema de arquivos XFS usando ferramentas Linux padrão (ex: mkfs.xfs). Dentro desta imagem, eles colocam um programa malicioso pré-compilado com permissão SUID (ex: um shell backdoor). Essa imagem é o próprio "payload de ataque".
Fase de Transferência: O atacante precisa transferir essa imagem maliciosa para o主机 alvo. Existem diversos métodos, como download via wget, pendrive USB, ou upload de arquivos explorando outras vulnerabilidades no sistema alvo.
Fase de Gatilho (no sistema alvo): O passo central do ataque ocorre no sistema alvo. O atacante explora a vulnerabilidade CVE-2025-6019 para enganar o serviço udisks2 do sistema alvo a montar (mount) a imagem maliciosa. Devido à vulnerabilidade, o udisks2 monta a imagem sem adicionar as flags de segurança necessárias (como nosuid).
Fase de Elevação de Privilégio: Uma vez que a imagem é montada de forma insegura, o programa malicioso com permissão SUID dentro dela se torna executável e, ao ser executado, herda os privilégios de root, permitindo que o atacante obtenha o controle total.
Conclusão: A imagem é apenas um "contêiner" com um programa malicioso; onde ela é feita não importa. O que importa é como o sistema alvo "trata" esse contêiner.
A pontuação base CVSS 3.1 desta vulnerabilidade é 7.0, classificada como alta gravidade.
A exploração bem-sucedida desta vulnerabilidade pode levar o atacante a obter controle total sobre o sistema afetado.
A maioria das distribuições Linux que usam os serviços libblockdev e udisks2 é afetada, incluindo Ubuntu, Debian, Fedora e openSUSE.
org.freedesktop.udisks2.modify-device do polkit de yes para auth_admin.Esta vulnerabilidade pode às vezes ser combinada com outra, CVE-2025-6018, que em algumas distribuições pode ser usada para obter remotamente a permissão allow_active.
Esta vulnerabilidade também destaca como erros no Linux podem afetar veículos definidos por software que usam o Automotive Grade Linux (AGL).