In LightDM KDE Greeter, developed by the KDE project as a login screen implementation based on the LightDM framework, a vulnerability (CVE-2025-62876) has been identified, allowing privilege escalation from an unprivileged lightdm user, under which LightDM runs, to the root user. The vulnerability has been fixed in version lightdm-kde-greeter 6.0.4.
The vulnerability was discovered by the SUSE project team during the review of a package addition request for lightdm-kde-greeter in the openSUSE Tumbleweed repository. The issue exists in the DBus service, which allows users to customize their login screen themes. The service is implemented as a KAuth handler, executed with root privileges. The vulnerability is caused by the presence of specific logic in the code for handling settings that start with the string 'copy_'. For such settings with root privileges, a function was called that copies the specified file to the directory /var/lib/lightdm, owned by the lightdm user. This operation was used to load images from the user's directory that LightDM could not access directly when displaying the login screen due to access rights.
L'operazione di copia viene eseguita con i diritti di root e, dopo la copia, viene modificato il proprietario del file risultante. Pertanto, questa funzionalità può essere utilizzata per copiare in una cartella pubblicamente accessibile /var/lib/lightdm file a cui gli utenti normali non hanno accesso, come /etc/shadow. Inoltre, creando un collegamento simbolico con il nome del file trasferibile nella cartella /var/lib/lightdm, è possibile organizzare la sovrascrittura di qualsiasi file nel sistema.
Se l'esecuzione del gestore del cambio tema di LightDM è consentita nelle impostazioni di Polkit per gli utenti non privilegiati, la vulnerabilità considerata consente di elevare i privilegi di qualsiasi utente a root. Tuttavia, nella pratica, in Polkit per eseguire questa azione è solitamente richiesto il permesso «auth_admin_keep», che implica la necessità di inserire la password dell'amministratore. In queste condizioni, un attacco può essere effettuato con accesso ai diritti dell'utente lightdm.
Poiché per eseguire un attacco è necessario manipolare i diritti dell'utente lightdm, al problema è stato assegnato un basso livello di pericolo. Si presume che la vulnerabilità possa essere utilizzata come secondo anello per l'escalation dei privilegi dopo il successo di un'altra vulnerabilità in LightDM, che ha consentito l'accesso all'esecuzione di codice con i diritti dell'utente lightdm.
Fonte: opennet.ru
