Investigadores de Qualys TRU han divulgado un combo de escalada local de privilegios que afecta a la mayoría de distribuciones Linux de escritorio y servidor. El ataque combina un error en la configuración de PAM de SUSE/openSUSE (CVE-2025-6018) con otro en libblockdev/udisks (CVE-2025-6019) para pasar de usuario sin privilegios a root. A esto se suma una tercera vulnerabilidad independiente en Linux-PAM (CVE-2025-6020) recién corregida en la versión 1.7.1.
¿En qué consiste el ataque?
| Paso | Vulnerabilidad | Resultado |
|---|---|---|
| 1 | CVE-2025-6018 — PAM allow_active | Un usuario que inicie sesión por SSH en openSUSE Leap 15 o SUSE Linux Enterprise 15 puede manipular ~/.pam_environment y engañar a polkit para obtener el rol allow_active (como si estuviera físicamente delante del equipo). |
| 2 | CVE-2025-6019 — udisks/libblockdev | Cualquier allow_active puede ejecutar acciones privilegiadas de udisks (por defecto en la mayoría de distros) y escalar a root. |
| 3 | (Opcional) CVE-2025-6020 — path traversal en pam_namespace |
Otra vía para llegar a root en sistemas que usan directorios polinstanciados, solucionada en linux-pam 1.7.1. |
Qualys mostró PoC en Ubuntu, Debian, Fedora y openSUSE, acortando la distancia entre un usuario autenticado y el control total del sistema.
Versiones afectadas y parches
| Componente | Distribuciones expuestas | Versión corregida |
|---|---|---|
| PAM allow_active | openSUSE Leap 15.x, SLE 15 SP4/SP5 | Parche en repositorios SUSE (pam 1.3.0-155.71 o superior) |
| udisks / libblockdev | udisks 2.x instalado por defecto (Ubuntu, Debian, Fedora, Arch, openSUSE…) | libblockdev 2.30 / udisks 2.10.2 |
| pam_namespace | Cualquier distro con Linux-PAM ≤ 1.7.0 y pam_namespace activo |
linux-pam 1.7.1 |
Impacto potencial
- Obtención de privilegios de root a partir de cualquier cuenta local o sesión SSH.
- Manipulación de políticas polkit, montaje de dispositivos y cambios en configuraciones de seguridad.
- Uso del sistema comprometido como salto para implantar backdoors o pivotar lateralmente.
Recomendaciones
- Actualizar a los paquetes que corrigen CVE-2025-6018/6019 y a linux-pam 1.7.1.
- Mientras tanto, modificar la regla
polkit org.freedesktop.udisks2.modify-deviceaauth_adminy desactivarudisksdsi no es necesario. - Auditar
~/.pam_environmenty limitar la variableuser_readenven/etc/pam.d/common-auth. - Revisar logs de
polkit,auditdyudisksden busca de llamadas inesperadas. - Aplicar la política de mínimos privilegios y usar MFA en accesos SSH para mitigar ataques locales.
Más información
- The Hacker News – New Linux Flaws Enable Full Root Access via PAM and Udisks Across Major Distributions
- Qualys TRU – Chained LPE: SUSE 15 PAM to Full Root via libblockdev & udisks
- Openwall – CVE-2025-6018 / 6019 advisory
- Linux – PAM 1.7.1 release notes
- BleepingComputer – New udisks flaw lets attackers get root on major Linux distros
La entrada Nuevo encadenamiento de vulnerabilidades en Linux permite salto de usuario a root en segundos se publicó primero en Una Al Día.
