L'élévation locale de privilèges peut transformer un accès limité en contrôle total d'un système Linux. Au lieu de se fier uniquement à la signature d'un exploit spécifique, les défenseurs peuvent rechercher des comportements d'exécution indiquant qu'un contexte utilisateur normal a atteint une exécution au niveau root.

La source définit une requête d'audit Linux pour ce scénario.

La couverture inclut CVE-2025-32463, CVE-2025-38352, CVE-2026-31431 et d'autres failles d'élévation locale de privilèges.

Logique de détection

La requête exige :

• ID utilisateur effectif 0, représentant root ;

• ID utilisateur d'audit d'origine correspondant à des utilisateurs non root sélectionnés ;

• exécution d'un shell ou d'un interpréteur, ou répertoire de travail situé dans un emplacement temporaire ou accessible via le web.

Requête de détection

rule.groups:audit and data.audit.euid:0 and data.audit.auid:("1000" or "1001" or "1002") and (data.audit.exe: (/bin/sh or /bin/bash or /usr/bin/dash or /usr/bin/python or /usr/bin/python3 or /usr/bin/perl) or data.audit.cwd: (/tmp* or /var/tmp* or /dev/shm* or */public_html*))

La source a enregistré zéro résultat au cours des 30 derniers jours.

Pourquoi le contexte utilisateur est important

Les processus de niveau root sont normaux sur les systèmes Linux. Ce qui compte, c'est la relation entre les privilèges root effectifs et le contexte utilisateur d'origine.

Un compte utilisateur standard qui produit soudainement un shell root depuis /tmp ou /dev/shm est plus intéressant qu’un service système connu s’exécutant en tant que root depuis son emplacement habituel.

Processus d'investigation

Si une correspondance apparaît, examinez :

• utilisateur d'audit d'origine ;

• utilisateur effectif ;

• exécutable ;

• processus parent ;

• répertoire de travail actuel ;

• ligne de commande ;

• activité sudo ;

• création de fichiers immédiatement avant l'exécution ;

• historique d'authentification.

Déterminez si l'élévation était une action administrative approuvée ou un changement de privilèges inattendu.

Réglage

La requête source répertorie les ID utilisateur d'audit 1000, 1001 et 1002. En production, ces valeurs doivent être adaptées à l'environnement local.

Les flux d'administrateurs connus utilisant sudo peuvent nécessiter des références de base explicites, surtout s'ils exécutent légitimement des shells.

Corrélation

Un événement d'élévation de privilèges doit être corrélé avec :

• exécution d'applications web ;

• fichiers téléchargés suspects ;

• persistance ;

• modifications de clés SSH ;

• reverse shells ;

• évasion des défenses.

Une chaîne allant d'un accès applicatif à faibles privilèges à une exécution root fournit une preuve nettement plus solide.

Valeur opérationnelle

La source n'a enregistré aucune correspondance, ce qui fait de cette recherche une recherche comportementale à faible volume.

En combinant l'identité de l'utilisateur, le privilège effectif, le type d'exécutable et le répertoire de travail, la requête offre un moyen pratique d'identifier une exécution root suspecte à travers plusieurs techniques d'EoP locale possibles.