🔐 Wiederholbare Angriffssimulation – CVE-2025-20029

⚠️ Dieses Repository simuliert CVE-2025-20029 in einer sicheren und kontrollierten Umgebung.
Es interagiert nicht mit echten F5-BIG-IP-Systemen und nutzt keinen Produktivdienst aus.
Das Ziel ist lehrreich: das Schwachstellenmuster zu untersuchen und Payloads sicher zu testen.

🛠 Über CVE-2025-20029

CVE-2025-20029 ist eine schwerwiegende Command-Injection-Schwachstelle, die F5-BIG-IP-Systeme betrifft.
Das Problem liegt in der iControl-REST-API, die unter bestimmten Konfigurationen einem authentifizierten Benutzer erlaubt, beliebige Systembefehle über den Endpunkt /mgmt/tm/util/bash auszuführen.

• Auswirkung: Remote Code Execution (RCE) als Root
• Erforderliche Authentifizierung: Ja (ein Standardbenutzer ist ausreichend)
• CVSS-v3.1-Score: 8.8
• Angriffsvektor: HTTP-POST an die iControl-REST-API mit präpariertem JSON-Payload

Diese Simulation zeigt, wie die Schwachstelle in einer kontrollierten, containerisierten Umgebung ausgenutzt werden könnte.

🧪 Überblick über das Exploit-Skript

Das Skript exploit/exploit.py simuliert ein Remote-Code-Execution-Szenario, indem es ein präpariertes JSON-Payload an den anfälligen F5-BIG-IP-Endpunkt /mgmt/tm/util/bash sendet.

Wichtige Funktionen:

• Sendet eine POST-Anfrage mit einem JSON-Payload wie {"command": "id"}
• Simuliert eine reale Fehlkonfiguration, bei der Benutzereingaben direkt an bash übergeben werden
• Gibt Serverantworten aus, um die Ausführung zu bestätigen

Dieses Skript ist bewusst minimal gehalten, um den Exploit-Pfad transparent und leicht modifizierbar zu machen.
Es eignet sich ideal zum Testen, zur Wiederholung des Angriffsvektors oder zur Einbindung in Trainingslabore.

🧯 Einschränkungen des PoC

Dieses Projekt beinhaltet nicht:

• Die Einbindung der tatsächlich anfälligen F5-Codebasis
• Unsicheren oder unautorisierten Zugriff auf echte Infrastruktur
• Die Reproduktion der exakten Serialisierungs-Schwachstelle aus CVE-2025-20029

Stattdessen konzentriert es sich auf:

• Das Verständnis der Angriffslogik
• Die sichere Reproduktion von Post-Exploitation-Verhalten
• Das Vermitteln, wie solche Angriffe aufgebaut sind

🐳 Funktionen

• Reproduzierbarer PoC in einer Docker-basierten Laborumgebung
• Wiederholung mit einem einzigen Befehl (replay.sh)
• Automatisch generierter Bericht (report.md)
• CVSS-/Metadaten-Tagging über meta.yaml

🖥️ Verwendung

1. Voraussetzungen

• Docker + Docker Compose
• Python 3.8+

2. Simulation ausführen

cd CVE-2025-20029

# Make scripts executable
chmod +x replay.sh

# Run the exploit + generate Markdown report
sudo ./replay.sh

📁 Verzeichnisstruktur

.
├── app.py               # Flask mock app simulating vulnerable endpoint
├── Dockerfile
├── docker-compose.yml
├── replay.sh
├── report.md /         # Auto-generated report
├── exploit/
│   └── exploit.py
├── logs/
│   └── run1.log
├── meta.yaml
├── detection.md
├── remediation.md
├── utils/
│   ├── report_generator.py

📄 Meta

CVE: CVE-2025-20029

• Schweregrad: Hoch
• CVSS: 8.8
• Tags: command-injection, rest-api, auth-required
• Sicher ausführbar? ✅ Ja — vollständig über Docker isoliert.

📚 PoC-Referenz

Diese Simulation wurde durch öffentliche Forschung zu CVE-2025-20029 inspiriert:

• 🔗 CyberSecurityNews – PoC-Exploit für F5 BIG-IP CVE-2025-20029 veröffentlicht

💡 Hinweis Die Implementierung hier ist keine 1:1-Kopie einer Produktivumgebung, sondern ein minimaler, lehrreicher Mock-up mit Flask und Docker, um die Kernlogik der Schwachstelle sicher zu demonstrieren.