来源

关联漏洞

描述

CVE-2025-27591

介绍

# CVE-2025-27591-Proof-Of-Concept

Existía una vulnerabilidad de escalada de privilegios en el servicio Below antes de la versión v0.9.0 debido a la creación de un directorio con permisos de escritura universal en /var/log/below. Esto podría haber permitido a usuarios locales sin privilegios escalar a privilegios de root mediante ataques de enlace simbólico que manipulan archivos como /etc/shadow.

# Detalles Tecnicos

En versiones anteriores a 0.9.0, el servicio Below (que puede correr como root) creaba el directorio /var/log/below con permisos 0777 (es decir, cualquier usuario podía escribir en él), Esto permitía a un usuario sin privilegios crear un symlink malicioso (enlace simbólico) dentro de ese directorio, apuntando, por ejemplo, a un archivo sensible del sistema como `/etc/passwd`, luego cuando `below` se ejecuta como `root` y escribe archivos de logs en ese directorio podria sobreescribir archivos criticos del sistema o archivos donde apuntemos con el symlink.

# Impacto

1. Escalada de privilegios local: Un atacante con acceso a un usuario normal puede llegar a obtener permisos de superusuario.
2. Integridad comprometida: El sistema puede ser manipulado al sobrescribir archivos esenciales.

# Explotacion

## Requisitos:

1. Below < v0.9.0 instalado en el sistema
2. acceso local (no remoto)
3. usuario de bajos privilegios
4. Provocar de alguna forma la ejecucion de `Below` como `root` (Para esta `POC` vamos a suponer que el usuario de bajos privilegios tiene permisos sudo para ejecutar below) 

## Pasos:

nos clonamos el repositorio

```bash
git clone https://github.com/DarksBlackSk/CVE-2025-27591.git
```

accedemos al directorio `CVE-2025-27591`

```bash
cd CVE-2025-27591
```

ejecutamos el script de bash

```bash
bash cve-2025-27591.sh
```

y asi obtendremos `root` en el sistema!

<img width="1600" height="170" alt="image (4)" src="https://github.com/user-attachments/assets/31b1ad6e-6876-439a-a404-79acc78e16f0" />

# Solución

1. Actualizar Below a la versión 0.9.0 o superior, donde se corrigió este comportamiento inseguro.
2. Temporalmente, puedemos cambiar los permisos del directorio /var/log/below a algo más restrictivo, como chmod 740, para evitar que otros usuarios puedan escribir en él.

文件快照

 [4.0K]  /data/pocs/8cd1fc347a02b88ba135e6feebbb54bbc2bb8949
├── [ 306]  cve-2025-27591.sh
└── [2.2K]  README.md

0 directories, 2 files

备注