Qualys研究人員發(fā)現(xiàn)兩個本地提權(quán)漏洞（CVE-2025-6018、CVE-2025-6019），攻擊者可通過組合利用這兩個漏洞，"輕松"在多數(shù)Linux發(fā)行版上獲取root權(quán)限。

漏洞詳情分析

CVE-2025-6018影響openSUSE Leap 15和SUSE Linux Enterprise 15的PAM（Pluggable Authentication Modules，可插拔認(rèn)證模塊）配置，允許無權(quán)限的本地攻擊者（例如通過遠(yuǎn)程SSH會話登錄的攻擊者）獲取物理在場用戶的"allow_active"權(quán)限。

（PAM框架控制Linux系統(tǒng)中的用戶認(rèn)證和會話啟動流程，該漏洞本質(zhì)上是配置錯誤，導(dǎo)致系統(tǒng)將任何本地登錄都視為用戶在物理控制臺前操作。）

獲取"allow_active"權(quán)限后，攻擊者可利用CVE-2025-6019——libblockdev組件中的漏洞，將權(quán)限提升至_root_級別。獲得root權(quán)限后，攻擊者能夠關(guān)閉EDR代理、植入后門、修改配置等，使受控系統(tǒng)成為滲透整個組織的跳板。

影響范圍與修復(fù)進(jìn)展

Qualys安全研究產(chǎn)品管理高級經(jīng)理Saeed Abbasi指出，CVE-2025-6019可通過udisks守護(hù)進(jìn)程利用，該組件默認(rèn)安裝在幾乎所有Linux發(fā)行版中。Qualys威脅研究部門已開發(fā)概念驗(yàn)證代碼，確認(rèn)Ubuntu、Debian、Fedora和openSUSE Leap 15等系統(tǒng)存在可利用的漏洞。

漏洞技術(shù)細(xì)節(jié)和PoC已公開，補(bǔ)丁已于上周私下提供給各Linux發(fā)行版開發(fā)商。

漏洞利用機(jī)制與緩解建議

Abbasi強(qiáng)調(diào)："這類現(xiàn)代'本地到root'漏洞利用技術(shù)，徹底消除了普通登錄用戶與完全控制系統(tǒng)之間的屏障。通過串聯(lián)udisks循環(huán)掛載和PAM/環(huán)境特性等合法服務(wù)，控制任何活躍GUI或SSH會話的攻擊者能在數(shù)秒內(nèi)突破polkit的allow_active信任區(qū)，獲取root權(quán)限。整個過程無需特殊條件——每個環(huán)節(jié)都預(yù)裝在主流Linux發(fā)行版及其服務(wù)器版本中。"

安全公告還指出，CVE-2025-6018為攻擊者利用其他需要"allow_active"權(quán)限的新漏洞創(chuàng)造了條件。目前主要Linux發(fā)行版已開始通過調(diào)整規(guī)則和/或更新libblockdev、udisks軟件包修復(fù)漏洞。

Abbasi解釋緩解措施："默認(rèn)polkit策略對'org.freedesktop.udisks2.modify-device'操作可能允許任何活躍用戶修改設(shè)備。應(yīng)將策略改為要求管理員認(rèn)證才能執(zhí)行此操作。鑒于udisks的普遍性和漏洞利用的簡易性，各組織必須將此視為關(guān)鍵且普遍的風(fēng)險(xiǎn)，立即部署補(bǔ)丁。"