L'elevazione locale dei privilegi può trasformare un accesso limitato nel controllo completo di un sistema Linux. Invece di affidarsi solo alla firma di un exploit specifico, i difensori possono cercare comportamenti di esecuzione che indicano che un normale contesto utente ha raggiunto un'esecuzione con privilegi root.

La fonte definisce una query sui log di audit di Linux per questo scenario.

La copertura include CVE-2025-32463, CVE-2025-38352, CVE-2026-31431 e altre vulnerabilità di elevazione locale dei privilegi.

Logica di rilevamento

La query richiede:

• ID utente effettivo 0, che rappresenta root;

• ID utente di audit originale corrispondente a utenti non root selezionati;

• esecuzione di una shell o di un interprete, oppure una cartella di lavoro in una posizione temporanea o accessibile via web.

Query di rilevamento

rule.groups:audit and data.audit.euid:0 and data.audit.auid:("1000" or "1001" or "1002") and (data.audit.exe: (/bin/sh or /bin/bash or /usr/bin/dash or /usr/bin/python or /usr/bin/python3 or /usr/bin/perl) or data.audit.cwd: (/tmp* or /var/tmp* or /dev/shm* or */public_html*))

La fonte ha registrato zero risultati nei 30 giorni precedenti.

Perché il contesto utente è importante

I processi con privilegi root sono normali sui sistemi Linux. L'aspetto importante è il rapporto tra i privilegi root effettivi e il contesto utente originale.

Un account utente standard che improvvisamente genera una root shell da /tmp o /dev/shm è più interessante di un servizio di sistema noto che viene eseguito come root dalla sua posizione abituale.

Flusso di indagine

Se compare una corrispondenza, verifichi:

• utente di audit originale;

• utente effettivo;

• eseguibile;

• processo padre;

• cartella di lavoro corrente;

• riga di comando;

• attività sudo;

• creazione di file immediatamente prima dell'esecuzione;

• cronologia di autenticazione.

Stabilisca se l'elevazione sia stata un'azione amministrativa approvata o una modifica di privilegi inattesa.

Ottimizzazione

La query della fonte elenca gli ID utente di audit 1000, 1001 e 1002. In produzione, questi valori vanno adattati all'ambiente locale.

I flussi di lavoro di amministratori noti che usano sudo possono richiedere baseline esplicite, soprattutto se eseguono legittimamente shell.

Correlazione

Un evento di elevazione dei privilegi va correlato con:

• esecuzione di applicazioni web;

• file scaricati sospetti;

• persistenza;

• modifiche alle chiavi SSH;

• reverse shell;

• evasione delle difese.

Una catena che va dall'accesso applicativo a basso privilegio all'esecuzione come root fornisce prove sostanzialmente più solide.

Valore operativo

La fonte non ha registrato corrispondenze, rendendo questa una ricerca comportamentale a basso volume.

Combinando identità dell'utente, privilegio effettivo, tipo di eseguibile e cartella di lavoro, la query offre un modo pratico per individuare esecuzioni root sospette attraverso diverse possibili tecniche di EoP locale.