CVE-2025-34299 Testumgebung

Docker-Testumgebung für CVE-2025-34299 – Pre-Authentication Remote Code Execution Schwachstelle in Monsta FTP.

Schwachstellendetails

Beschreibung

Monsta FTP Versionen <= 2.11.2 enthalten eine vorauthentifizierte Remote-Code-Ausführungsschwachstelle durch uneingeschränkten Datei-Upload. Der API-Endpunkt downloadFile (/mftp/application/api/api.php) akzeptiert benutzergesteuerte Dateipfade ohne ordnungsgemäße Bereinigung, sodass Angreifer:

1. Eine POST-Anfrage mit actionName: downloadFile senden können
2. Einen bösartigen FTP-Server unter ihrer Kontrolle angeben
3. Monsta FTP anweisen, beliebige Dateien (einschließlich PHP-Webshells) von diesem Server an beliebige Server-Pfade herunterzuladen
4. RCE mit den Rechten des Webservers erreichen können

Schnellstart

# Dieses Repository klonen
git clone https://github.com/KrE80r/CVE-2025-34299-lab.git
cd CVE-2025-34299-lab

# Die verwundbare Umgebung starten
docker-compose up -d

# Überprüfen, ob sie läuft
curl -s http://localhost:8080/mftp/ | grep -o "MonstaFTP"

Testen mit Nuclei

# Testen mit Nuclei-Template
nuclei -t CVE-2025-34299.yaml -u http://localhost:8080

# Erwartete Ausgabe:
# [CVE-2025-34299] [http] [critical] http://localhost:8080/mftp/application/api/api.php ["2.10.4"]

Manuelle Überprüfung

# Überprüfen, ob der verwundbare API-Endpunkt erreichbar ist
curl -X POST http://localhost:8080/mftp/application/api/api.php \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d 'request={"connectionType":"ftp","configuration":{"host":"127.0.0.1","username":"test","initialDirectory":"/","password":"test","port":21},"actionName":"downloadFile","context":{"remotePath":"/test.txt","localPath":"/tmp/test.txt"}}'

# Erwartete Antwort enthält "CONNECTION_FAILURE_ERROR", was beweist, dass der verwundbare Codepfad erreicht wird

Umgebungsdetails

• Basis-Image: php:7.4-apache
• Monsta FTP Version: 2.10.4 (verwundbar)
• Standard-Port: 8080
• Web-Pfad: /mftp/

Bereinigung

# Container stoppen und entfernen
docker-compose down

# Image entfernen
docker rmi cve-2025-34299-lab-monsta-ftp-vulnerable

Referenzen

• NVD - CVE-2025-34299
• WatchTowr Labs Advisory
• GitHub Advisory - GHSA-42m5-3r2p-wr92

Haftungsausschluss

Diese Umgebung wird ausschließlich für Sicherheitsforschung und Testzwecke bereitgestellt. Nicht gegen Systeme verwenden, die dir nicht gehören oder für die du keine ausdrückliche Genehmigung zum Testen hast.

Lizenz

MIT-Lizenz