⚠️ Обзор

CVE-2025-32463 (также известная как "chroot-to-root") — это критическая уязвимость локального повышения привилегий в sudo.

Она позволяет любому локальному непривилегированному пользователю — даже тем, кто не указан в sudoers — получить полный доступ root, просто используя опцию -R / --chroot.

Ошибка была внесена в sudo 1.9.14 (июнь 2023) и существовала до 1.9.17p1 (июнь 2025). Это был не традиционный баг, а опасный побочный эффект того, как sudo обрабатывал разрешение путей внутри подконтрольного пользователю chroot до проверок политик.

Официальное уведомление Sudo: "Злоумышленник может использовать опцию -R sudo для выполнения произвольных команд от root, даже если он не указан в файле sudoers."

🔥 Серьёзность и влияние

• CVSS v3.1 Базовая оценка: 9.3 / Критическая
• Вектор атаки: Локальный (без аутентификации, без сети)
• Необходимые привилегии: Отсутствуют (любая локальная учётная запись)
• Влияние: Полный доступ root, произвольное выполнение кода от root

Реальная оценка:

• Публичные эксплойты и PoC появились сразу после раскрытия.
• Добавлен в каталог CISA Known Exploited Vulnerabilities (KEV) 29 сентября 2025 года.
• Затрагивает практически все дистрибутивы Linux и macOS с уязвимыми версиями sudo.
• Может быть объединён с другими атаками для полного захвата системы.

🕵️ Обнаружитель: Rich Mirch

• Rich Mirch — ведущий исследователь безопасности в Stratascale Cybersecurity Research Unit (CRU).
• Сообщил о проблеме конфиденциально мейнтейнеру sudo Todd C. Miller 1 апреля 2025 года.
• CVE присвоен 8 апреля 2025 года.
• Публичный анализ и полный PoC опубликованы вместе с раскрытием 30 июня 2025 года.
• Также отмечен за связанную CVE-2025-32462.

🔬 Технические детали

Ошибка возникла из-за изменения 2023 года в логике сопоставления команд sudo:

1. При использовании -R /path sudo вызывает pivot_root() до полной оценки политики sudoers.
2. Затем NSS (Name Service Switch) запросы (для пользователей/групп/PAM) читают /etc/nsswitch.conf изнутри chroot.
3. Злоумышленник создаёт поддельный каталог chroot с:
   • Вредоносным /etc/nsswitch.conf (например, passwd: /woot1337)
   • Мошеннической общей библиотекой libnss_/woot1337.so.2, содержащей конструктор, выполняющийся от root.
4. NSS загружает библиотеку злоумышленника с привилегиями root → мгновенная оболочка root.

Ключевой момент: Опция -R была разрешена даже для пользователей без прав sudo, что делало её идеальным вектором атаки.

📅 Хронология

🖥️ Подверженные системы и дистрибутивы

Только sudo 1.9.14 – 1.9.17 (до 1.9.17p1)

Широко подвержены:

• Ubuntu 24.04 (1.9.15p5, 1.9.16p2)
• Fedora 40/41/42
• Debian 12/13 (testing)
• RHEL 9/10, AlmaLinux, Rocky Linux
• Arch Linux, openSUSE Tumbleweed
• macOS (Homebrew / MacPorts sudo)
• Почти все образы контейнеров с середины 2023 по середину 2025

Не подвержены:

• sudo ≤ 1.9.13 (нет уязвимой логики chroot)
• sudo ≥ 1.9.17p1
• Системы, где функция chroot никогда не была включена

💥 Публичный эксплойт и PoC

Однострочный эксплойт (от Stratascale CRU):

# 1 – клонирование репозитория
$ git clone https://github.com/zaryouhashraf/CVE-2025-32463
$ cd CVE-2025-32463

# 2 – сборка и запуск Docker-образа (с тегом "sudo-chwoot")
$ sudo chmod +x CVE-2025-32463.sh
$ ./CVE-2025-32463.sh

# 3 – запуск эксплойта в контейнере (выполняет команду от root напрямую или открывает оболочку root)
┌──(kali㉿kali)-[~]
└─$ ./CVE-2025-32463.sh
═══════════════════════════════════════════════════════════════
⚠  ПРЕДУПРЕЖДЕНИЕ: ЭКСПЛОЙТ PoC CVE-2025-32463 ⚠
═══════════════════════════════════════════════════════════════
Этот скрипт предназначен ТОЛЬКО ДЛЯ АВТОРИЗОВАННОГО ТЕСТИРОВАНИЯ на системах, которые вам принадлежат.
Запуск на неавторизованных системах НЕЗАКОНЕН.
Немедленно установите патч после тестирования (sudo 1.9.17p1+).

[+] Создание временной стадии эксплойта...
[+] Компиляция вредоносной библиотеки NSS...
[+] Запуск sudo -R ... (ожидается оболочка root)
   (В случае успеха вы попадёте в приглашение bash от root)


[!] CVE-2025-32463 сработала — получение прав root...
[+] Теперь вы root!
┌──(root㉿kali)-[/]
└─# whoami
root

🛡️ Как проверить и исправить (редакция 2026)

1. Проверьте версию

sudo -V | head -n 1

✅ Безопасно, если версия 1.9.17p1 или новее (или ≤ 1.9.13)

2. Немедленно обновитесь

Debian/Ubuntu:

sudo apt update && sudo apt install --reinstall sudo

Fedora/RHEL:

sudo dnf update sudo

Arch:

sudo pacman -S sudo

3. Усиление защиты (даже после установки патча)

Добавьте в /etc/sudoers (или файл в /etc/sudoers.d/):

Defaults !use_chroot

Найдите и удалите любые строки CHROOT= или runchroot=.

Совет 2026 года: Проверьте старые Docker-образы, CI-среды и устаревшие ВМ — многие всё ещё содержат уязвимые снимки sudo.

📈 Постинцидентные события (2025–2026)

• Функция chroot официально объявлена устаревшей и запланирована к удалению в будущих версиях sudo.
• Крупные дистрибутивы выпустили патчи в течение нескольких дней.
• Включение в список CISA KEV вызвало обязательное исправление для федеральных систем США.
• Усиление внимания к интеграции NSS в sudo и разрешению путей до проверки политик.

🎓 Извлечённые уроки

• Никогда не доверяйте путям, контролируемым пользователем, до проверки привилегий.
• Функции, предназначенные для продвинутого использования (--chroot), могут стать поверхностью атаки, если не изолированы.
• Однострочные изменения в 2023 году создали критическую уязвимость, обнаруженную два года спустя.
• Публичные PoC + список KEV = быстрый риск широкого распространения эксплойтов.

Этот инцидент подтвердил необходимость принципа наименьших привилегий даже в основных системных инструментах.

🔗 Ссылки и дополнительное чтение

• Официальная запись NVD
• Официальное уведомление Sudo
• Полный анализ Stratascale + PoC
• Блог Oligo Security (с контекстом CVE-2025-32462)
• Запись в каталоге CISA KEV
• Уведомление Red Hat
• PoC на GitHub