Para mitigar el riesgo es fundamental aplicar los parches de los proveedores de distribuciones de Linux
Investigadores de ciberseguridad han descubierto dos vulnerabilidades de escalada de privilegios locales (LPE) que podrían explotarse para obtener privilegios de root en equipos con las principales distribuciones de Linux.
Las vulnerabilidades descubiertas por Qualys se enumeran a continuación:
• CVE-2025-6018 - LPE de unprivileged a allow_active en los módulos de autenticación conectables (PAM) de SUSE 15
• CVE-2025-6019 - LPE de allow_active a root en libblockdev mediante el demonio udisks
"Estos modernos exploits 'de local a root' han acortado la distancia entre un usuario conectado normal y una toma de control total del sistema", dijo Saeed Abbasi, gerente sénior de la Unidad de Investigación de Amenazas de Qualys (TRU).
Al encadenar servicios legítimos, como los montajes en bucle de udisks y las peculiaridades de PAM/entorno, los atacantes con cualquier sesión GUI o SSH activa pueden saltarse la zona de confianza allow_active de Polkit y emerger como root en segundos.
La compañía de ciberseguridad dijo que CVE-2025-6018 está presente en la configuración PAM de openSUSE Leap 15 y SUSE Linux Enterprise 15, lo que permite que un atacante local sin privilegios se eleve al usuario "allow_active" y llame a acciones de Polkit que de otro modo estarían reservadas para un usuario físicamente presente.
Por otro lado, CVE-2025-6019 afecta a libblockdev y se puede explotar mediante el demonio udisks, incluido por defecto en la mayoría de las distribuciones de Linux. Básicamente, permite que un usuario "allow_active" obtenga privilegios de root completos al asociarlo con CVE-2025-6018.
Aunque nominalmente requiere privilegios 'allow_active', udisks viene por defecto en casi todas las distribuciones de Linux, por lo que prácticamente cualquier sistema es vulnerable —añadió Abbasi—. Las técnicas para obtener 'allow_active', incluido el problema de PAM que se describe aquí, anulan aún más esa barrera.
Una vez que se obtienen privilegios de root, un atacante tiene acceso libre al sistema, lo que le permite usarlo como trampolín para acciones posteriores al compromiso más amplias, como alterar los controles de seguridad e implantar puertas traseras para acceso encubierto.
Qualys afirmó que ha desarrollado exploits de prueba de concepto (PoC) para confirmar la presencia de estas vulnerabilidades en varios sistemas operativos, incluidos Ubuntu, Debian, Fedora y openSUSE Leap 15.
Para mitigar el riesgo que representan estas fallas, es fundamental aplicar los parches proporcionados por los proveedores de distribuciones de Linux. Como solución temporal, los usuarios pueden modificar la regla de Polkit para "org.freedesktop.udisks2.modify-device" para que requiera la autenticación del administrador ("auth_admin").
Falla descubierta en Linux PAM
La revelación se produce después que los mantenedores de Linux PAM resolvieran una falla de alta gravedad de recorrido de ruta (CVE-2025-6020, puntuación CVSS: 7.8) que también podría permitir que un usuario local escalara a privilegios de root. El problema se ha corregido en la versión 1.7.1.
"El módulo pam_namespace en linux-pam <= 1.7.0 puede acceder a rutas controladas por el usuario sin las protecciones adecuadas, lo que permite a un usuario local elevar sus privilegios a root mediante múltiples ataques de enlace simbólico y condiciones de carrera", dijo el mantenedor de Linux PAM, Dmitry V. Levin.
Los sistemas Linux son vulnerables si usan pam_namespace para configurar directorios poliinstanciados cuya ruta, ya sea al directorio poliinstanciado o al directorio de instancia, esté bajo el control del usuario. Como solución alternativa para CVE-2025-6020, los usuarios pueden deshabilitar pam_namespace o asegurarse de que no opere en rutas controladas por el usuario.
Olivier Bal-Petre de ANSSI, quien informó la falla al mantenedor el 29 de enero de 2025, dijo que los usuarios también deberían actualizar su script namespace.init si no usan el provisto por su distribución para asegurarse de que cualquiera de las dos rutas sea segura para operar como root.
