CVE-2025-27591-Below

📌 Описание

Это proof-of-concept (PoC) эксплойт для CVE-2025-27591, уязвимости локального повышения привилегий в системном мониторе below.

Проблема возникает из-за небезопасной обработки файлов журналов (/var/log/below/error_root.log) при выполнении с повышенными привилегиями. Используя её, атакующий может выполнить symlink-атаку и внедрить вредоносного пользователя в /etc/passwd, фактически получив root-доступ.

⚙️ Затронуто

• Бинарный файл: /usr/bin/below
• Требуется: разрешение sudo для запуска below record
• Протестировано на: машине HTB (точное название не указано)

🔧 Шаги эксплуатации

1. Удалите целевой файл журнала (если он существует)
2. Создайте симлинк: /var/log/below/error_root.log → /etc/passwd
3. Выполните уязвимую команду: sudo /usr/bin/below record
4. Добавьте пользователя с root-правами в /etc/passwd
5. Проверьте, что пользователь создан
6. Запустите root-оболочку от имени внедрённого пользователя

🚀 Этапы эксплуатации

1. Клонируйте этот репозиторий
   root@kitploit:~

   git clone https://github.com/Thekin-ctrl/CVE-2025-27591-Below.git
   cd CVE-2025-27591-Below
   python3 Exploit.py
   

🙏 Благодарности

Этот эксплойт был вдохновлён более ранним proof-of-concept от BridgerAlderson, доступным здесь:

• https://github.com/BridgerAlderson/CVE-2025-27591-PoC.git

Текущая версия представляет собой упрощённую и адаптированную версию, написанную мной для образовательных и практических целей.