CVE-2025-27591-Below

📌 Descrição

Este é um exploit proof-of-concept (PoC) para CVE-2025-27591, uma vulnerabilidade de escalada de privilégio local na ferramenta de monitoramento de sistema below.

O problema decorre do tratamento inseguro de arquivos de log (/var/log/below/error_root.log) quando executado com privilégios elevados. Abusando disso, um atacante pode realizar um ataque de symlink e injetar um usuário malicioso em /etc/passwd, efetivamente concedendo acesso root.

⚙️ Afetado

• Binário: /usr/bin/below
• Requer: permissão sudo para executar below record
• Testado em: Máquina HTB (nome específico omitido)

🔧 Passos do Exploit

1. Exclua o arquivo de log alvo (se existir)
2. Crie um symlink: /var/log/below/error_root.log → /etc/passwd
3. Execute o comando vulnerável: sudo /usr/bin/below record
4. Adicione um usuário de nível root em /etc/passwd
5. Verifique se o usuário foi criado
6. Obtenha um shell root como o usuário injetado

🚀 Passos de Exploração

1. Clone este repositório
   root@kitploit:~

   git clone https://github.com/Thekin-ctrl/CVE-2025-27591-Below.git
   cd CVE-2025-27591-Below
   python3 Exploit.py
   

🙏 Créditos

Este exploit foi inspirado por um proof-of-concept anterior de BridgerAlderson, disponível aqui:

• https://github.com/BridgerAlderson/CVE-2025-27591-PoC.git

A versão atual é uma versão simplificada e adaptada escrita por mim para fins educacionais e de prática.