務(wù)必自查：Linux 爆出本地雙殺提權(quán)漏洞，從 SSH 到 Root 只需一步？
今天分享兩個(gè)6月17號(hào)Qualys研究團(tuán)隊(duì)披露了公布的Linux漏洞。
1. 漏洞介紹
- CVE?2025?6018：利用 PAM 配置誤用，SSH 登錄的普通用戶可冒充本地物理用戶（allow_active），并執(zhí)行 polkit 授權(quán)操作。
- CVE?2025?6019：結(jié)合 libblockdev 與 udisks 模塊缺陷，可在普通用戶（已具備 allow_active）條件下，通過掛載惡意 XFS 鏡像拿到 SUID-root Shell，從而躋身系統(tǒng) Root。
- 雙鏈條合體：先通過 CVE?2025?6018 獲得 allow_active，再借助 CVE?2025?6019 提升至 root，整個(gè)鏈條可在主流 Linux 發(fā)行版（SUSE、Ubuntu、Debian、Fedora、AlmaLinux……）上復(fù)現(xiàn)。
2. 漏洞原理
(1) CVE?2025?6018：PAM 環(huán)境變量誤讀
- openSUSE Leap 15 / SUSE Linux Enterprise 15 默認(rèn)啟用了 pam_env 的 user_readenv=1，導(dǎo)致登錄時(shí)直接讀取用戶 ~/.pam_environment。
- 攻擊者可設(shè)置環(huán)境變量如 XDG_SEAT、XDG_VTNR，繞過 pam_systemd 判斷，冒充“本地”用戶，從而獲得 allow_active 權(quán)限。
(2) CVE?2025?6019：udisks 免 nosuid/nodev 掛載缺陷
- 在 udisks2 調(diào)用 libblockdev 執(zhí)行 XFS 文件系統(tǒng)擴(kuò)展操作時(shí)，掛載點(diǎn)默認(rèn)缺少 nosuid 和 nodev 限制。
- 攻擊者可準(zhǔn)備 XFS 鏡像中包含 SUID-root 程序，通過 loop-mount 再執(zhí)行，即刻奪取 root 權(quán)限。
3. 受影響范圍
漏洞 | 受影響系統(tǒng) | 提升鏈條說明 |
CVE?2025?6018 | openSUSE Leap 15, SUSE Linux Enterprise 15 等 PAM 使用 | 可從 SSH 普通用戶→allow_active |
CVE?2025?6019 | 幾乎所有默認(rèn)安裝了 | 可從 allow_active → root |
Ubuntu 自 18.04/20.04/22.04 等版本起，已對(duì) libblockdev 和 udisks2 發(fā)布修復(fù)補(bǔ)丁。默認(rèn)配置下不受 CVE?2025?6018 影響，但某些定制 PAM 配置仍然有風(fēng)險(xiǎn)。
Debian、Red Hat、AlmaLinux 等社區(qū)紛紛上線應(yīng)急更新。
4. 防范措施建議
(1) 立即更新系統(tǒng)軟件
SUSE 用戶更新 PAM 或調(diào)整 /etc/pam.d/* 棧中 pam_env 配置，確保 user_readenv=0 或移除。
Ubuntu/Debian/Fedora/AlmaLinux 等用戶請(qǐng)盡快安裝 libblockdev 與 udisks2 的安全補(bǔ)丁。
(2) 調(diào)整 Polkit 授權(quán)策略
修改 /usr/share/polkit-1/actions/org.freedesktop.udisks2.policy 中 org.freedesktop.udisks2.modify-device 授權(quán)，將 allow_active 改為 auth_admin。
(3) 強(qiáng)化權(quán)限與配置審計(jì)
審查 PAM 配置文件，移除可能的 user_readenv 配置。
監(jiān)控 /tmp/loop… 臨時(shí)掛載、不明 SUID shell 文件生成行為。
(4) 隔離 SSH 與 GUI 登錄權(quán)限
對(duì) SSH 登錄用戶進(jìn)行最小權(quán)限策略，避免給予 GUI 本地權(quán)限（例如通過 pam_systemd 模塊）。
這兩個(gè)漏洞組合形成了從普通賬號(hào)到 root 的完整提權(quán)鏈條，運(yùn)維工程師們不能掉以輕心，引起足夠重視，記得做好提前備份。
