⚠️ 概述

CVE-2025-32463（也称为“chroot-to-root”）是 sudo 中的严重本地权限提升漏洞。

它允许任何本地非特权用户——甚至那些不在 sudoers 中的用户——仅通过使用 -R / --chroot 选项即可获得完整的 root 访问权限。

该漏洞在 sudo 1.9.14（2023 年 6 月）中引入，并一直存在到 1.9.17p1（2025 年 6 月）。它不是传统的 bug，而是 sudo 在策略检查之前处理用户控制的 chroot 内路径解析时产生的危险副作用。

官方 Sudo 公告：“攻击者可以利用 sudo 的 -R 选项以 root 身份运行任意命令，即使他们不在 sudoers 文件中。”

🔥 严重性与影响

• CVSS v3.1 基础评分：9.3 / 严重
• 攻击向量：本地（无需认证，无需网络）
• 所需权限：无（任何本地账户）
• 影响：完全 root 访问权限，以 root 身份执行任意代码

现实情况：

• 公开的漏洞利用和 PoC 在披露后立即出现。
• 已纳入 CISA 已知被利用漏洞（KEV）目录（2025 年 9 月 29 日）。
• 影响几乎所有运行受影响 sudo 版本的 Linux 发行版和 macOS 系统。
• 可能与其他攻击链结合以实现完全系统接管。

🕵️ 发现者：Rich Mirch

• Rich Mirch — Stratascale 网络安全研究部门（CRU） 的首席安全研究员。
• 于 2025 年 4 月 1 日私下向 sudo 维护者 Todd C. Miller 报告该问题。
• 于 2025 年 4 月 8 日分配 CVE。
• 于 2025 年 6 月 30 日随披露一起发布公开分析和完整 PoC。
• 同时被归功于相关的 CVE-2025-32462。

🔬 技术深度解析

该漏洞源于 2023 年 sudo 命令匹配逻辑的一项更改：

1. 当使用 -R /path 时，sudo 在完全评估 sudoers 策略之前调用 pivot_root()。
2. 然后，NSS（名称服务切换）查找（用于用户/组/PAM）从 chroot 内部读取 /etc/nsswitch.conf。
3. 攻击者创建一个虚假的 chroot 目录，其中包含：
   • 恶意的 /etc/nsswitch.conf（例如，passwd: /woot1337）
   • 包含以 root 身份运行的构造函数的恶意共享库 libnss_/woot1337.so.2。
4. NSS 以 root 权限加载攻击者的库 → 立即获取 root shell。

关键洞察：-R 选项即使对没有 sudo 权限的用户也允许使用，使其成为完美的攻击向量。

📅 时间线

🖥️ 受影响的系统与发行版

仅 sudo 1.9.14 至 1.9.17（1.9.17p1 之前）

广泛受影响：

• Ubuntu 24.04（1.9.15p5，1.9.16p2）
• Fedora 40/41/42
• Debian 12/13（测试版）
• RHEL 9/10、AlmaLinux、Rocky Linux
• Arch Linux、openSUSE Tumbleweed
• macOS（Homebrew / MacPorts sudo）
• 几乎所有 2023 年中至 2025 年中的容器镜像

不受影响：

• sudo ≤ 1.9.13（没有易受攻击的 chroot 逻辑）
• sudo ≥ 1.9.17p1
• 从未启用 chroot 功能的系统

💥 公开漏洞利用与 PoC

单行漏洞利用（来自 Stratascale CRU）：

# 1 – 克隆仓库
$ git clone https://github.com/zaryouhashraf/CVE-2025-32463
$ cd CVE-2025-32463

# 2 – 构建并运行 Docker 镜像（标签为 "sudo-chwoot"）
$ sudo chmod +x CVE-2025-32463.sh
$ ./CVE-2025-32463.sh

# 3 – 在容器中运行漏洞利用（直接执行 root 命令或进入 root shell）
┌──(kali㉿kali)-[~]
└─$ ./CVE-2025-32463.sh
═══════════════════════════════════════════════════════════════
⚠  警告：CVE-2025-32463 漏洞利用 PoC ⚠
═══════════════════════════════════════════════════════════════
此脚本仅适用于您拥有系统的授权测试。
在未经授权的系统上运行是违法的。
测试后请立即修补（sudo 1.9.17p1+）。

[+] 创建临时漏洞利用阶段...
[+] 编译恶意 NSS 库...
[+] 触发 sudo -R ...（期待 root shell）
   （如果成功，您将 drop 到 root bash 提示符）


[!] CVE-2025-32463 已触发 - 正在获取 root...
[+] 您现在已获得 root 权限！
┌──(root㉿kali)-[/]
└─# whoami
root

🛡️ 如何检查与修复（2026 版）

1. 检查版本

sudo -V | head -n 1

✅ 如果版本为 1.9.17p1 或更高（或 ≤ 1.9.13）则安全

2. 立即更新

Debian/Ubuntu：

sudo apt update && sudo apt install --reinstall sudo

Fedora/RHEL：

sudo dnf update sudo

Arch：

sudo pacman -S sudo

3. 加固（即使在修补后）

在 /etc/sudoers（或 /etc/sudoers.d/ 中的文件）中添加：

Defaults !use_chroot

搜索并删除任何 CHROOT= 或 runchroot= 行。

2026 专业提示：扫描旧的 Docker 镜像、CI 运行器和遗留虚拟机——许多仍携带易受攻击的 sudo 快照。

📈 事件后进展（2025–2026）

• Chroot 功能已正式弃用，并计划在未来的 sudo 版本中移除。
• 主要发行版在数天内反向移植了补丁。
• CISA KEV 列表触发了美国联邦系统的强制修复。
• 对 sudo 的 NSS 集成和策略前路径解析的审查加强。

🎓 经验教训

• 永远不要在任何权限检查之前信任用户控制的路径。
• 用于高级用途的功能（--chroot）如果未隔离，可能会成为攻击面。
• 2023 年的单行更改创建了一个两年后才被发现的严重漏洞。
• 公开 PoC + KEV 列表 = 快速广泛的漏洞利用风险。

此事件强化了即使在核心系统工具中也需遵循最小权限原则的必要性。

🔗 参考文献与进一步阅读

• NVD 官方条目
• Sudo 官方公告
• Stratascale 完整分析 + PoC
• Oligo 安全博客（附 CVE-2025-32462 背景）
• CISA KEV 目录条目
• Red Hat 公告
• GitHub PoC