Investigadores de Qualys TRU identificaron un conjunto de vulnerabilidades que permiten a los atacantes escalar privilegios localmente en la mayoría de las distribuciones Linux. El ataque combina tres errores distintos para lograr el acceso total al sistema desde una cuenta sin privilegios.
Detalles técnicos de las vulnerabilidades
El combo de vulnerabilidades se compone de CVE-2025-6018, CVE-2025-6019 y CVE-2025-6020. CVE-2025-6018 afecta a la configuración de PAM en SUSE/openSUSE, permitiendo que un usuario que inicie sesión por SSH manipule el archivo ~/.pam_environment para engañar a polkit y obtener el rol allow_active.
CVE-2025-6019 afecta a udisks/libblockdev y permite que cualquier usuario con el rol allow_active ejecute acciones privilegiadas, lo cual facilita la escalada a root. CVE-2025-6020 se relaciona con un error de tránsito de ruta en pam_namespace, ofreciendo otra vía para acceder a root en sistemas que usen directorios polinstanciados.
Correcciones y versiones afectadas
La corrección de CVE-2025-6020 se encuentra en la versión 1.7.1 de Linux-PAM. Las distribuciones expuestas incluyen openSUSE Leap 15.x, SLE 15 SP4/SP5, así como sistemas que usen udisks 2.x por defecto.
Para corregir CVE-2025-6018 y CVE-2025-6019, se recomienda actualizar a las versiones parchadas de pam (1.3.0-155.71 o superior) y a libblockdev 2.30 / udisks 2.10.2.
Riesgos potenciales
- Obtención de privilegios de root a partir de cualquier cuenta local o sesión SSH.
- Manipulación de políticas polkit, montaje de dispositivos y cambios en configuraciones de seguridad.
- Uso del sistema comprometido como salto para implantar backdoors o pivotar lateralmente.
Mitigaciones recomendadas
Actualizar a los paquetes que corrigan CVE-2025-6018/6019 y a linux-pam 1.7.1.
Modificar la regla polkit org.freedesktop.udisks2.modify-device a auth_admin y desactivar udisksd si no es necesario.
Auditar ~/.pam_environment y limitar la variable user_readenv en /etc/pam.d/common-auth.
Revisar logs de polkit, auditd y udisksd en busca de llamadas inesperadas.
Aplicar la política de mínimos privilegios y usar MFA en accesos SSH para mitigar ataques locales.