Se han identificado dos nuevas vulnerabilidades de escalamiento de privilegios locales (LPE) que permiten a los atacantes obtener permisos de root en sistemas que ejecutan las principales distribuciones de Linux. Estas fallas pueden ser explotadas para comprometer completamente un sistema SUSE, según informes recientes.
Vulnerabilidad CVE-2025-6018
La primera vulnerabilidad, identificada como CVE-2025-6018, se encuentra en la configuración del módulo de autenticación PAM (Pluggable Authentication Modules) en openSUSE Leap 15 y SUSE Linux Enterprise 15. Esta falla permite a los atacantes locales obtener los privilegios del usuario «allow_active».
Vulnerabilidad CVE-2025-6019
La segunda vulnerabilidad, CVE-2025-6019, se encuentra en el componente libblockdev y permite que un usuario con privilegios «allow_active» obtenga permisos de root a través de udisks, un servicio de gestión de almacenamiento que se ejecuta por defecto en la mayoría de las distribuciones de Linux. Dada la ubicuidad de los udisks y la simplicidad de su explotación, las organizaciones deben tratar esto como un riesgo crítico e implementar parches sin demora.
El uso exitoso de estas dos vulnerabilidades como parte de una explotación en cadena «de local a root» puede permitir a los atacantes obtener rápidamente el acceso de root y controlar por completo un sistema SUSE. Sin embargo, la falla libblockdev/udisks también es extremadamente peligrosa por sí sola.
Descubrimiento y explotación
La Unidad de Investigación de Amenazas de Qualys (TRU) descubrió e informó ambas vulnerabilidades. El equipo ha desarrollado exploits de prueba de concepto y ha explotado con éxito CVE-2025-6019 para obtener privilegios de root en sistemas Ubuntu, Debian, Fedora y openSUSE Leap 15.
Aunque nominalmente requiere privilegios «allow_active», udisks viene por defecto en casi todas las distribuciones de Linux, lo que hace que prácticamente cualquier sistema sea vulnerable. Saeed Abbasi, gerente senior de Qualys TRU, afirmó que las técnicas para obtener «allow_active», incluyendo el problema de PAM revelado aquí, anulan aún más esa barrera.
Un atacante puede encadenar estas vulnerabilidades para comprometer inmediatamente el sistema con un mínimo esfuerzo. El equipo de Qualys ha compartido más detalles técnicos sobre estas dos vulnerabilidades y ha enlazado a parches de seguridad en esta publicación de Openwall.
El acceso root permite la manipulación de agentes, la persistencia y el movimiento lateral, por lo que un servidor sin parchear pone en peligro a toda la red. Se deben instalar los parches tanto en PAM como en libblockdev/udisks para eliminar esta ruta de ataque.
Se insta a los administradores a aplicar parches de inmediato.