hopgoblin

hopgoblin ist ein Scanner für Adobe-Experience-Manager-Instanzen (AEM).
Er automatisiert eine Reihe von Checks, die wir bei Sicherheitsbewertungen häufig manuell durchführen.

---

Funktionen

• Erkennt exponierte QueryBuilder-Endpunkte:
  • /bin/querybuilder.json
  • /bin/querybuilder.feed
• Missbraucht QueryBuilder, um:
  • rep:User-Objekte und geleakte Passwort-Hashes zu enumerieren
  • beschreibbare JCR-Knoten zu identifizieren
• SSRF über /services/accesstoken/verify
• Blind-XXE im Jackrabbit-Paketmanager (/crx/packmgr/service/exec.json)
• Expression-Language-Injection (EL) im Cloudsettings-Import
• Path-Mutation-Strategien, um Endpunkte hinter laschem Parsing zu erwischen
• Nebenläufigkeit mit Fortschrittsbalken (tqdm)
• Proxy-Unterstützung (--proxy) für die Verwendung mit Burp/ZAP
• Schreibt Ergebnisse mit Proof-of-Concept-URLs in eine Datei mit Zeitstempel

---

Installation

Repository klonen und Abhängigkeiten installieren:

git clone https://github.com/assetnote/hopgoblin.git
cd hopgoblin
pip install -r requirements.txt

Anforderungen:

• Python 3.8+
• requests
• tqdm

---

Verwendung

Einzelnes Ziel

python hopgoblin.py https://aem-target.example

Beispielausgabe:

[.] Output will be saved to: hopgoblin_aem-target.example_20250923_123456.txt
Scanning https://aem-target.example
[+] Exposed JSON query builder - /bin/querybuilder.json
POC URL: https://aem-target.example/bin/querybuilder.json

summary
------------------------------------------------------------
https://aem-target.example
  exposed json query builder
------------------------------------------------------------

Mehrere Ziele

python hopgoblin.py -f targets.txt --threads 25 --ssrf-target collab.example.com

Mit Proxy und Debug

python hopgoblin.py -f targets.txt --proxy http://127.0.0.1:8080 --debug

---

Optionen

usage: hopgoblin.py [-h] [-f FILE | url] [-t SSRF_TARGET] [-d] [-p PROXY] [--threads THREADS]

positional arguments:
  url                   Single target URL

optional arguments:
  -f, --file FILE       File containing target URLs (one per line)
  -t, --ssrf-target     Callback domain for SSRF/XXE checks
  -d, --debug           Enable debug output
  -p, --proxy           Proxy URL (e.g., http://127.0.0.1:8080)
  --threads THREADS     Number of threads (default: 10)

---

CVEs

Während unserer Forschung haben wir mehrere Schwachstellen in Adobe Experience Manager identifiziert und gemeldet, denen CVEs zugewiesen wurden:

• CVE-2025-54251
• CVE-2025-54249
• CVE-2025-54252
• CVE-2025-54250
• CVE-2025-54247
• CVE-2025-54248
• CVE-2025-54246

Weitere Details finden Sie in der offiziellen Adobe-Ankündigung:
Adobe Security Bulletin APSB25-90

---

Konferenzvortrag

Diese Forschung und das Tool wurden auf der BSides Canberra 2025 präsentiert:
Finding Critical Bugs in Adobe Experience Manager

Folien: