CVE-2025-32463 - sudo chroot

使用方法

Dockerfile 创建了一个安全、隔离的测试环境，其中安装了存在漏洞的 sudo 版本（1.9.16p2）。这样可以在不影响主机系统的情况下测试漏洞利用。

# 构建存在漏洞的测试环境
docker build -t cve .

# 运行容器（创建非特权用户 'testuser'）
docker run -it cve

# 执行概念验证漏洞利用脚本
./poc.sh

运行 poc.sh 后，你应在容器内获得一个 root shell，从而演示权限提升漏洞。

简介

该漏洞是一个本地权限提升漏洞，涉及 Sudo 的 chroot 功能。利用此漏洞不需要为用户定义任何 sudo 规则。因此，如果安装了存在漏洞的 sudo 版本，任何本地用户都可能提升至 root 权限。

漏洞详情

CVE 信息

• CVE ID： CVE-2025-32463
• CVSS 3.1 评分： 9.3（严重）
• 漏洞类型： 本地权限提升
• 攻击向量： 本地
• 攻击复杂度： 低
• 所需权限： 低
• 用户交互： 无
• 披露日期： 2025 年 7 月
• CISA KEV 状态： 已添加到已知被利用漏洞目录（2025 年 9 月）

概述

CVE-2025-32463 是 sudo 的 chroot 功能（-R 或 --chroot 选项）中的一个严重权限提升漏洞。该漏洞允许非特权本地用户在无需配置任何 sudo 权限的情况下提升至 root 权限。

技术细节

该漏洞利用了 sudo 在使用 -R chroot 选项时处理名称服务开关（NSS）库中的一个竞争条件。当 sudo 执行 chroot 操作时：

1. Sudo 将根目录更改为用户指定的路径
2. 在放弃权限之前，sudo 通过 NSS 执行用户/组查找
3. NSS 根据 /etc/nsswitch.conf 加载共享库（libnss_*.so）
4. 如果攻击者控制了 chroot 环境，他们可以放置一个恶意 NSS 库，该库将以提升的权限被加载

攻击流程

概念验证漏洞利用的工作方式如下：

1. 创建一个临时暂存目录
2. 编译一个带有构造函数的恶意 NSS 共享库，该构造函数会：
   • 将 UID/GID 设置为 0（root）
   • 生成一个 root shell
3. 设置一个伪造的 chroot 环境，包含一个恶意的 nsswitch.conf，将查找重定向到攻击者的 NSS 库
4. 执行 sudo -R <chroot_path> /bin/true
5. Sudo 在放弃权限之前以 root 权限加载恶意 NSS 库
6. 构造函数函数执行，授予一个 root shell

前提条件

• 本地访问安装了存在漏洞的 sudo 的系统
• 用户不需要任何 sudo 权限
• 能够编译 C 代码（gcc）
• 对 /tmp 或其他目录的写权限

影响

• 完全的系统入侵（root 访问权限）
• 无需身份验证或 sudo 规则
• 任何本地用户均可利用

受影响版本

• 稳定版 1.9.14 - 1.9.17

注意：sudo 版本 <=1.8.32 不受影响，因为 chroot 功能不存在

缓解措施

打补丁

升级到 sudo 1.9.17p1 或更高版本，该版本包含此漏洞的修复。

临时解决方案（如果无法立即打补丁）

• 禁用或限制对 sudo chroot 功能的访问
• 监控 sudo -R 命令的可疑使用
• 对本地用户实施额外的访问控制

检测

监控系统日志以发现：

• 非特权用户使用 sudo -R 命令
• 在 /tmp 目录中编译共享库
• 可疑的 NSS 库加载

免责声明

此概念验证仅供教育和授权的安全测试目的使用。仅在您拥有或获得明确书面许可进行测试的系统上使用此漏洞。未经授权访问计算机系统是非法的。

致谢

CVE-2025-32463 Sudo chroot 权限提升漏洞由 Stratascale 网络研究部门的 Rich Mirch 发现。所有研究及概念验证的功劳归于他。表示支持并阅读相关研究请访问：https://www.stratascale.com/vulnerability-alert-CVE-2025-32463-sudo-chroot