Sploitus

Exploit for CVE-2025-27591-PoC

kitploit · 2026-09-04

Exploit Code

MARKDOWN73 lines
## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-INCOMMATOSE-CVE-2025-27591-POC
# CVE-2025-27591 PoC: Повышение локальных привилегий в Below < v0.9.0

Доказательство концепции для CVE-2025-27591 — уязвимости, которая позволяет локальным непривилегированным пользователям повышать свои привилегии до root через символьные ссылки.

# 🕵️‍♂️ Технические детали

Уязвимость затрагивает службу Below (версии до v0.9.0). Она создаёт каталог /var/log/below с правами доступа world-writable (0777), что позволяет непривилегированным локальным пользователям перемещать символьные ссылки и манипулировать критическими файлами, такими как /etc/shadow, что приводит к повышению привилегий до root.

## 🧩 Воздействие

Локальный непривилегированный пользователь может повысить привилегии до root следующим образом:

  * Создаёт символьную ссылку в /var/log/below на критический системный файл.
  * Запускает службу через sudo (например, sudo below snapshot), в результате чего Below записывает данные в символьную ссылку с правами root.



## ✅ Требования

  * Каталог `/var/log/below/` должен иметь права world-writable (0777) и содержать файл error_root.log.
  * Вы должны иметь право выполнять sudo /usr/bin/below.



root@kitploit:~
    
    
    foo@victim:~$ ls -l /var/log/ | grep below
    drwxrwxrwx  3 root      root               4096 Jul  8 20:45 below
    

# 🛠️ Использование

Потребуются привилегии уровня sudoers.

root@kitploit:~
    
    
    foo@victim:~$ sudo -l
    Matching Defaults entries for jacob on victim:
        env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin, use_pty
    
    User foo may run the following commands on victim:
        (ALL : ALL) NOPASSWD: /usr/bin/below
    

Как только у нас будет файл `poc.sh`, предоставим ему необходимые разрешения, выполним его — и станем `root`.

root@kitploit:~
    
    
    foo@victim:/tmp$ chmod +x poc.sh
    foo@victim:/tmp$ ./poc.sh 
    evil@victim:/tmp# id
    uid=0(evil) gid=0(root) groups=0(root)
    

## ✅ Официальное исправление

Обновитесь до Below v0.9.0 или новее, где удалена небезопасная логика chmod и используются функции systemd unit, такие как `LogsDirectory=below`.

## ⚖️ Юридическая информация

  * Этот скрипт предназначен для образовательных целей. Всегда получайте явное разрешение перед тестированием.



## 📚 Ссылки

  * NVD
  * wiz.io
  * SUSE Security