intelligent-ears/cve-2025-68613Nuclei-basierte Erkennungsvorlage für CVE-2025-68613, eine kritische RCE in der n8n Workflow-Automation. Verwendet mehrschichtiges passives Fingerprinting, um anfällige Instanzen über Sentry-Tags, REST-API und HTML-Meta-Analyse zu identifizieren.
n8n ist eine Open-Source-Workflow-Automatisierungsplattform. Versionen ab 0.211.0 und vor 1.120.4, 1.121.1 und 1.122.0 enthalten eine kritische Remote-Codeausführungs-Sicherheitslücke (RCE) im Ausdrucksauswertungssystem für Workflows. Unter bestimmten Bedingungen können Ausdrücke, die von authentifizierten Benutzern während der Workflow-Konfiguration bereitgestellt werden, in einem Ausführungskontext ausgewertet werden, der nicht ausreichend von der zugrunde liegenden Laufzeitumgebung isoliert ist. Ein authentifizierter Angreifer könnte dieses Verhalten ausnutzen, um beliebigen Code mit den Privilegien des n8n-Prozesses auszuführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung der betroffenen Instanz führen, einschließlich unbefugtem Zugriff auf sensible Daten, Änderung von Workflows und Ausführung von systemweiten Operationen. Dieses Problem wurde in den Versionen 1.120.4, 1.121.1 und 1.122.0 behoben. Benutzer werden dringend gebeten, auf eine gepatchte Version zu aktualisieren, die zusätzliche Sicherheitsvorkehrungen zur Einschränkung der Ausdrucksauswertung einführt. Falls ein Upgrade nicht sofort möglich ist, sollten Administratoren die folgenden vorübergehenden Abhilfemaßnahmen in Betracht ziehen: Beschränken Sie die Berechtigungen zum Erstellen und Bearbeiten von Workflows auf vollständig vertrauenswürdige Benutzer; und/oder setzen Sie n8n in einer gehärteten Umgebung mit eingeschränkten Betriebssystemrechten und Netzwerkzugriff ein, um die Auswirkungen einer möglichen Ausnutzung zu verringern. Diese Workarounds beseitigen das Risiko nicht vollständig und sollten nur als kurzfristige Maßnahmen eingesetzt werden.
Die Erkennungsvorlagen verwenden einen mehrschichtigen Ansatz, um anfällige n8n-Instanzen ohne Authentifizierung zu identifizieren. Zunächst untersuchen die Vorlagen gängige n8n-Endpunkte (/rest/settings, /signin, /), um die Anwendung zu identifizieren. Anschließend extrahieren sie Versionsinformationen mithilfe von drei sich ergänzenden Methoden:
(1) Base64-Sentry-Tag-Extraktion – Dekodieren des <meta name="n8n:config:sentry">-Tags, das auf der /signin-Seite gefunden wird und JSON mit der Release-Version enthält;
(2) REST-API-Parsing – Abfragen des /rest/settings-Endpunkts, der Versionsmetadaten im JSON-Format zurückgibt; und
(3) HTML-Meta-Tag-Analyse – Extrahieren von Versionsstrings aus standardmäßigen HTML-Meta-Tags und JavaScript-Variablen. Jede extrahierte Version wird dann mithilfe der compare_versions()-DSL-Funktion von Nuclei auf den anfälligen Bereich (0.211.0 - 1.120.3 oder 1.121.0) geprüft, um einen genauen semantischen Versionsvergleich zu gewährleisten. Diese Multimethodenstrategie gewährleistet eine 100%ige Erkennungsrate, selbst wenn einzelne Endpunkte deaktiviert oder in verschiedenen n8n-Installationen unterschiedlich konfiguriert sind, und erreicht eine 6-fach bessere Abdeckung als Ansätze mit einer einzigen Methode. Die Vorlagen sind vollständig passiv (während der Erkennung findet keine Ausnutzung statt), was sie für Scans in Produktionsumgebungen sicher macht.
nuclei -t CVE-2025-68613.yaml -u <Ziel-IP>
Oder wenn Sie eine Liste von Hosts scannen möchten, führen Sie aus:
nuclei -t CVE-2025-68613.yaml -l <Liste.txt>
Nutzung auf eigene Gefahr. Ich übernehme keine Verantwortung für illegale Aktivitäten, die Sie auf Infrastruktur durchführen, die Ihnen nicht gehört oder für die Sie keine Scan-Berechtigung haben.
Dieses Projekt ist unter der MIT-Lizenz lizenziert.
Wenn Sie Kontakt aufnehmen möchten, bin ich hauptsächlich auf Twitter/X und LinkedIn aktiv.