Vulnerabilidade CVE-2025-6019

Agora, invasores podem explorar duas vulnerabilidades recém-descobertas de escalonamento de privilégios locais (LPE) para obter acesso root completo em sistemas que executam distribuições Linux populares. Essas falhas, se não corrigidas, representam um sério risco para ambientes corporativos.

CVE-2025-6018: Configuração incorreta do PAM abre a porta

A primeira vulnerabilidade, identificada como CVE-2025-6018, reside na configuração da estrutura Pluggable Authentication Modules (PAM). Ela afeta o openSUSE Leap 15 e o SUSE Linux Enterprise 15. Essa falha permite que invasores locais aumentem seus privilégios para os do usuário especial "allow_active" — um passo essencial para um comprometimento da raiz.

CVE-2025-6019: libblockdev + Udisks é igual a root completo

A segunda falha, CVE-2025-6019, está no libblockdev e afeta o daemon udisks, um serviço de gerenciamento de armazenamento executado por padrão na maioria dos sistemas Linux. Essa vulnerabilidade permite que um usuário "allow_active" eleve privilégios diretamente ao root. Como o udisks é amplamente distribuído e está ativo por padrão, praticamente qualquer sistema Linux está em risco.

Cadeia de exploração: do acesso local à raiz em segundos

Os invasores podem combinar essas duas vulnerabilidades em uma cadeia de exploração "local-to-root". Primeiro, eles exploram a falha PAM para obter o status "allow_active" e, em seguida, utilizam a falha udisks para obter acesso root completo. Essa combinação reduz significativamente a barreira ao comprometimento, possibilitando o controle de sistemas SUSE quase instantaneamente.

Risco entre distribuições: não é apenas um problema do SUSE

Embora descoberto em sistemas SUSE, os pesquisadores demonstraram que o CVE-2025-6019 também afeta outras distribuições importantes, incluindo Ubuntu, Debian e Fedora. Usando exploits de prova de conceito (PoC), eles escalaram com sucesso para privilégios de root nessas plataformas, confirmando a ampla aplicabilidade do ataque.

Acesso root: uma porta de entrada para ameaças mais profundas

Obter privilégios de root é o pior cenário possível: permite adulteração de agentes, mecanismos de persistência e movimentação lateral entre redes. Uma máquina sem patch pode comprometer a segurança de toda uma frota de servidores.

Aja rápido: o risco universal exige correção imediata

Dada a ubiquidade dos udisks e a facilidade com que a cadeia de exploração funciona, as organizações devem tratá-la como uma vulnerabilidade crítica. A aplicação imediata de patches na configuração do PAM e na falha libblockdev/udisks é essencial para eliminar esse caminho para o comprometimento da raiz.

Um padrão de ameaças persistentes ao Linux

Essas falhas de LPE fazem parte de uma tendência crescente de ameaças à segurança do Linux. Outras vulnerabilidades recentes de alto perfil incluem:

• PwnKit (pkexec do Polkit)
• Looney Tunables (ld.so da glibc)
• Sequoia (camada do sistema de arquivos do kernel)
• Barão Samedit (escalonamento de privilégios Sudo)

No caso do Looney Tunables, o código PoC foi divulgado logo após a divulgação. Em um mês, ataques reais surgiram usando malware Kinsing para roubar credenciais de provedores de serviços em nuvem (CSP).

Conclusão: Proteja sua infraestrutura Linux agora

A descoberta das vulnerabilidades CVE-2025-6018 e CVE-2025-6019 reforça a necessidade urgente de gerenciamento contínuo de patches e monitoramento proativo. Essas vulnerabilidades representam um risco crítico entre distribuições e devem ser tratadas imediatamente para evitar comprometimento na raiz.