Цепочка эксплойтов CVE-2025-6018 + CVE-2025-6019

Этот эксплойт был разработан для решения задания HackTheBox, нацеленного на openSUSE Leap 15.6.

Авторы

Данный эксплойт основан на оригинальном исследовании команды Qualys Security:

• Уведомление: https://cdn2.qualys.com/2025/06/17/suse15-pam-udisks-lpe.txt
• CVE-2025-6018: локальное повышение привилегий от непривилегированного пользователя до allow_active в PAM openSUSE 15
• CVE-2025-6019: локальное повышение привилегий от allow_active до root в libblockdev через udisks

Дополнительная эталонная реализация:

• https://github.com/symphony2colour/CVE-2025-6019-udisks-lpe-no-image

Обзор

Данный эксплойт объединяет две уязвимости для достижения локального повышения привилегий от непривилегированного пользователя до root на openSUSE Leap 15.6:

1. CVE-2025-6018: использует конфигурацию PAM для получения привилегий allow_active
2. CVE-2025-6019: использует UDisks2/libblockdev для повышения от allow_active до root

Требования

• Целевая система: openSUSE Leap 15.6
• Файл образа XFS с SUID-бинарником bash (см. ниже)
• Доступ по SSH или локальная оболочка от имени непривилегированного пользователя

Создание образа XFS

Эксплойт требует предварительно созданный образ файловой системы XFS, содержащий SUID-бинарник bash. Это должно быть создано на Linux-машине, где у вас есть привилегии root:

dd if=/dev/zero of=xfs.image bs=1M count=400
mkfs.xfs xfs.image
mkdir -p /tmp/mnt
mount xfs.image /tmp/mnt
cp /bin/bash /tmp/mnt/bash
chmod 04755 /tmp/mnt/bash
umount /tmp/mnt

Проверьте, что образ создан правильно:

file xfs.image
# Should output: "SGI XFS filesystem data (blksz 4096, inosz 256, v2 dirs)"

Как это работает

Шаг 1: CVE-2025-6018

• Создаёт ~/.pam_environment с переопределениями XDG_SEAT и XDG_VTNR
• Обманывает pam_systemd, заставляя думать, что вы пользователь физической консоли
• Предоставляет привилегии polkit "allow_active"

Шаг 2: CVE-2025-6019

• Настраивает loop-устройство с образом XFS
• Запускает изменение размера файловой системы через интерфейс UDisks2 D-Bus
• libblockdev монтирует XFS в /tmp без флагов nosuid/nodev
• Выполняет SUID bash из смонтированной файловой системы для получения root

Устранение неполадок

Если эксплойт не срабатывает:

• Проверьте корректность образа XFS: file xfs.image
• Убедитесь, что вы отключились и снова подключились по SSH после первого запуска
• Попробуйте запустить эксплойт несколько раз (чувствителен ко времени)
• Проверьте, запущена ли служба udisks2: systemctl status udisks2

Отказ от ответственности

Данный эксплойт предназначен только для образовательных целей и авторизованного тестирования безопасности. Используйте ответственно и только на системах, на которые у вас есть разрешение на тестирование.