Qualys研究人員發(fā)現(xiàn)兩個本地提權漏洞（CVE-2025-6018、CVE-2025-6019），攻擊者可通過組合利用這兩個漏洞，"輕松"在多數(shù)Linux發(fā)行版上獲取root權限。

漏洞詳情分析

CVE-2025-6018影響openSUSE Leap 15和SUSE Linux Enterprise 15的PAM（Pluggable Authentication Modules，可插拔認證模塊）配置，允許無權限的本地攻擊者（例如通過遠程SSH會話登錄的攻擊者）獲取物理在場用戶的"allow_active"權限。

（PAM框架控制Linux系統(tǒng)中的用戶認證和會話啟動流程，該漏洞本質上是配置錯誤，導致系統(tǒng)將任何本地登錄都視為用戶在物理控制臺前操作。）

獲取"allow_active"權限后，攻擊者可利用CVE-2025-6019——libblockdev組件中的漏洞，將權限提升至_root_級別。獲得root權限后，攻擊者能夠關閉EDR代理、植入后門、修改配置等，使受控系統(tǒng)成為滲透整個組織的跳板。

影響范圍與修復進展

Qualys安全研究產(chǎn)品管理高級經(jīng)理Saeed Abbasi指出，CVE-2025-6019可通過udisks守護進程利用，該組件默認安裝在幾乎所有Linux發(fā)行版中。Qualys威脅研究部門已開發(fā)概念驗證代碼，確認Ubuntu、Debian、Fedora和openSUSE Leap 15等系統(tǒng)存在可利用的漏洞。

漏洞技術細節(jié)和PoC已公開，補丁已于上周私下提供給各Linux發(fā)行版開發(fā)商。

漏洞利用機制與緩解建議

Abbasi強調(diào)："這類現(xiàn)代'本地到root'漏洞利用技術，徹底消除了普通登錄用戶與完全控制系統(tǒng)之間的屏障。通過串聯(lián)udisks循環(huán)掛載和PAM/環(huán)境特性等合法服務，控制任何活躍GUI或SSH會話的攻擊者能在數(shù)秒內(nèi)突破polkit的allow_active信任區(qū)，獲取root權限。整個過程無需特殊條件——每個環(huán)節(jié)都預裝在主流Linux發(fā)行版及其服務器版本中。"

安全公告還指出，CVE-2025-6018為攻擊者利用其他需要"allow_active"權限的新漏洞創(chuàng)造了條件。目前主要Linux發(fā)行版已開始通過調(diào)整規(guī)則和/或更新libblockdev、udisks軟件包修復漏洞。

Abbasi解釋緩解措施："默認polkit策略對'org.freedesktop.udisks2.modify-device'操作可能允許任何活躍用戶修改設備。應將策略改為要求管理員認證才能執(zhí)行此操作。鑒于udisks的普遍性和漏洞利用的簡易性，各組織必須將此視為關鍵且普遍的風險，立即部署補丁。"