Lokale rechtenescalatie kan beperkte toegang omzetten in volledige controle over een Linux-systeem. In plaats van alleen te vertrouwen op een specifieke exploitsignatuur kunnen verdedigers zoeken naar uitvoeringsgedrag dat erop wijst dat een normale gebruikerscontext uitvoering met root-rechten heeft bereikt.
De bron definieert een Linux-auditquery voor dit scenario.
De dekking omvat CVE-2025-32463, CVE-2025-38352, CVE-2026-31431 en andere kwetsbaarheden voor lokale rechtenescalatie.
Detectielogica
De zoekopdracht vereist:
effectieve gebruikers-ID
0, die root vertegenwoordigt;oorspronkelijke audit-gebruikers-ID die overeenkomt met geselecteerde niet-rootgebruikers;
uitvoering van een shell of interpreter, of een werkmap op een tijdelijke of via het web toegankelijke locatie.
Detectiequery
rule.groups:audit and data.audit.euid:0 and data.audit.auid:("1000" or "1001" or "1002") and (data.audit.exe: (/bin/sh or /bin/bash or /usr/bin/dash or /usr/bin/python or /usr/bin/python3 or /usr/bin/perl) or data.audit.cwd: (/tmp* or /var/tmp* or /dev/shm* or */public_html*))De bron registreerde nul resultaten in de afgelopen 30 dagen.
Waarom de gebruikerscontext ertoe doet
Processen met root-rechten zijn normaal op Linux-systemen. Het belangrijke is de relatie tussen effectieve root-rechten en de oorspronkelijke gebruikerscontext.
Een standaardgebruikersaccount dat plotseling een root shell start vanuit /tmp of /dev/shm, is interessanter dan een bekende systeemservice die als root draait vanaf de normale locatie.
Onderzoeksworkflow
Als er een treffer verschijnt, controleer dan:
oorspronkelijke audit-gebruiker;
effectieve gebruiker;
uitvoerbaar bestand;
bovenliggend proces;
huidige werkmap;
opdrachtregel;
sudo-activiteit;
bestandsaanmaak vlak voor uitvoering;
authenticatiegeschiedenis.
Bepaal of de escalatie een goedgekeurde beheeractie was of een onverwachte wijziging van privileges.
Afstemming
De bronquery vermeldt de audit-gebruikers-ID's 1000, 1001 en 1002. In productie moeten deze waarden worden aangepast aan de lokale omgeving.
Bekende beheerderswerkstromen met sudo hebben mogelijk expliciete referentiebases nodig, vooral als ze legitiem shells uitvoeren.
Correlatie
Een gebeurtenis van rechtenescalatie moet worden gecorreleerd met:
uitvoering van webapplicaties;
verdachte gedownloade bestanden;
persistentie;
wijzigingen aan SSH-sleutels;
reverse shells;
omzeiling van beveiligingsmaatregelen.
Een keten van applicatietoegang met lage privileges tot uitvoering met root-rechten levert aanzienlijk sterker bewijs.
Operationele waarde
De bron registreerde geen treffers, waardoor dit een gedragsgebaseerde zoekactie met laag volume is.
Door gebruikersidentiteit, effectieve bevoegdheden, type uitvoerbaar bestand en werkmap te combineren, biedt de zoekopdracht een praktische manier om verdachte uitvoering met root-rechten te identificeren bij diverse mogelijke lokale EoP-technieken.
