CVE-2025-6018 + CVE-2025-6019 漏洞利用链

该利用工具是为解决一个针对 openSUSE Leap 15.6 的 HackTheBox 挑战而开发的。

致谢

本利用基于 Qualys 安全团队的原始研究：

• 公告：https://cdn2.qualys.com/2025/06/17/suse15-pam-udisks-lpe.txt
• CVE-2025-6018：在 openSUSE 15 的 PAM 中从低权限提升到 allow_active 的本地提权漏洞
• CVE-2025-6019：通过 udisks 在 libblockdev 中从 allow_active 提升到 root 的本地提权漏洞

附加参考实现：

• https://github.com/symphony2colour/CVE-2025-6019-udisks-lpe-no-image

概述

此利用链通过组合两个漏洞，在 openSUSE Leap 15.6 上实现从非特权用户到 root 的本地权限提升：

1. CVE-2025-6018：利用 PAM 配置获取 allow_active 权限
2. CVE-2025-6019：利用 UDisks2/libblockdev 从 allow_active 提升到 root

环境要求

• 目标系统：openSUSE Leap 15.6
• 包含 SUID bash 二进制的 XFS 镜像文件（见下方）
• 以非特权用户身份通过 SSH 或本地 shell 访问

创建 XFS 镜像

利用需要预先创建一个包含 SUID bash 二进制的 XFS 文件系统镜像。该操作需在具有 root 权限的 Linux 机器上完成：

dd if=/dev/zero of=xfs.image bs=1M count=400
mkfs.xfs xfs.image
mkdir -p /tmp/mnt
mount xfs.image /tmp/mnt
cp /bin/bash /tmp/mnt/bash
chmod 04755 /tmp/mnt/bash
umount /tmp/mnt

验证镜像创建是否正确：

file xfs.image
# 应输出："SGI XFS filesystem data (blksz 4096, inosz 256, v2 dirs)"

工作原理

步骤 1：CVE-2025-6018

• 创建 ~/.pam_environment，包含 XDG_SEAT 和 XDG_VTNR 覆盖值
• 诱骗 pam_systemd 认为当前用户是物理控制台用户
• 授予 "allow_active" polkit 权限

步骤 2：CVE-2025-6019

• 使用 XFS 镜像设置 loop 设备
• 通过 UDisks2 D-Bus 接口触发文件系统调整大小
• libblockdev 将 XFS 挂载到 /tmp，不带 nosuid/nodev 标志
• 从挂载的文件系统中执行 SUID bash 以获取 root 权限

故障排除

如果利用失败：

• 验证 XFS 镜像是否正确：file xfs.image
• 确保首次运行后已断开并重新连接 SSH
• 尝试多次运行（对时间敏感）
• 检查 udisks2 服务是否在运行：systemctl status udisks2

免责声明

本利用仅用于教育目的和授权的安全测试。请负责任地使用，且仅在获得测试权限的系统上使用。