CVE-2025-54123

Zusammenfassung

Hoverfly ist ein Open-Source-API-Simulationstool. In den Versionen 1.11.3 und früher ist die Middleware-Funktionalität in Hoverfly anfällig für eine Command-Injection-Schwachstelle am Endpunkt `/api/v2/hoverfly/middleware`, die auf unzureichende Validierung und Bereinigung von Benutzereingaben zurückzuführen ist. Die Schwachstelle besteht im Middleware-Management-API-Endpunkt `/api/v2/hoverfly/middleware`. Dieses Problem entsteht durch eine Kombination aus drei Fehlern auf Code-Ebene: Unzureichende Eingabevalidierung in middleware.go, Zeile 94-96; Unsichere Befehlsausführung in local_middleware.go, Zeile 14-19; und sofortige Ausführung während des Testens in hoverfly_service.go, Zeile 173. Dadurch kann ein Angreifer Remote Code Execution (RCE) auf jedem System erlangen, das den anfälligen Hoverfly-Dienst ausführt. Da die Eingabe ohne ordnungsgemäße Prüfungen direkt an Systembefehle übergeben wird, kann ein Angreifer eine schädliche Nutzlast hochladen oder direkt beliebige Befehle (einschließlich Reverse Shells) auf dem Host-Server mit den Berechtigungen des Hoverfly-Prozesses ausführen. Commit 17e60a9bc78826deb4b782dca1c1abd3dbe60d40 in Version 1.12.0 deaktiviert die set middleware API standardmäßig, und anschließende Änderungen an der Dokumentation machen Benutzer auf die Sicherheitsänderungen bei der Offenlegung der set middleware API aufmerksam.

• Hoverfly-1.11.3-RCE-CVE-2025-54123-ExploitExploit

  Exploit für CVE-2025-54123, eine authentifizierte OS-Command-Injection in Hoverflys Middleware-API, mit Funktionen für reine Prüfung, Einzelbefehle, interaktive Shell und Reverse-Shell für autorisierte Sicherheitstests.