CVE-2025-47812

Exploit de Ejecución Remota de Código (RCE) en Wing FTP Server (CVE-2025-47812)

📌 Crédito: Vulnerabilidad descubierta por Julien (@MrTuxracer).
Esta implementación de PoC se basa en su investigación original.

Este repositorio alberga un exploit en Python para la vulnerabilidad de Ejecución Remota de Código (RCE) en Wing FTP Server (CVE-2025-47812). Esta falla crítica permite a los atacantes lograr ejecución remota de código como root/SYSTEM en instancias afectadas de Wing FTP Server, incluso con acceso anónimo habilitado.

🚀 Descripción general

Esta vulnerabilidad se origina en el manejo inadecuado de los bytes NULL dentro del parámetro de nombre de usuario durante el proceso de autenticación de Wing FTP Server. Esto permite a los atacantes inyectar código Lua directamente en los archivos de sesión. Estos archivos de sesión maliciosos se ejecutan cuando se carga una sesión válida, lo que lleva a la ejecución arbitraria de comandos en el servidor.

Las características clave de este exploit incluyen:

• Ejecución Remota de Código: Ejecute cualquier comando que elija en el servidor de destino.
• Privilegios de Root/SYSTEM: A menudo logra RCE con los máximos privilegios del sistema debido a las configuraciones predeterminadas de Wing FTP Server.
• Explotación de acceso anónimo: Se puede aprovechar incluso si solo se permiten inicios de sesión anónimos en el servidor.
• Escaneo por lotes: Escanee múltiples objetivos proporcionando una lista de URLs desde un archivo.
• Ejecución de comandos personalizados: Especifique y ejecute cualquier comando que necesite en el servidor vulnerable.

⚠️ Descargo de responsabilidad

Esta herramienta está destinada estrictamente a fines educativos y de pruebas de penetración autorizadas. El autor no asume ninguna responsabilidad por el mal uso o daño causado por este software. Asegúrese siempre de tener un permiso explícito y por escrito antes de realizar cualquier prueba en un sistema.

🔎 Detalles de la vulnerabilidad (CVE-2025-47812)

Esta vulnerabilidad fue descubierta y documentada en detalle por Julien (@MrTuxracer). Consulte el artículo original:
What the NULL?! Wing FTP Server RCE (CVE-2025-47812)

La vulnerabilidad CVE-2025-47812 es un problema crítico que surge de múltiples debilidades en la forma en que Wing FTP Server gestiona la autenticación de usuarios y las sesiones:

1. Truncamiento por byte NULL en c_CheckUser(): La función c_CheckUser(), responsable de la autenticación de usuarios, utiliza internamente strlen() en el nombre de usuario proporcionado. Cuando se inyecta un byte NULL (%00) en el nombre de usuario (por ejemplo, anonymous%00...), strlen() trunca la cadena en ese punto. Esto significa que la autenticación tiene éxito para la parte del nombre de usuario anterior al byte NULL, evitando efectivamente la validación adecuada.
2. Nombre de usuario completo en la creación de la sesión: A pesar del truncamiento de autenticación, la llamada rawset(_SESSION, "username", username) dentro de loginok.html utiliza el nombre de usuario completo, sin sanitizar, directamente de los parámetros GET o POST. Esto incluye el byte NULL y cualquier carácter posterior.
3. Inyección de código Lua: Dado que los archivos de sesión se almacenan como scripts Lua, la inyección de código Lua después del byte NULL en el nombre de usuario (por ejemplo, anonymous%00]]%0dlocal+h+%3d+io.popen("id")%0dlocal+r+%3d+h%3aread("*a")%0dh%3aclose()%0dprint(r)%0d--) da como resultado que este código malicioso se escriba directamente en el archivo de sesión.
4. Ejecución del archivo de sesión: La función SessionModule.load(), invocada cuando se accede a cualquier funcionalidad autenticada (como /dir.html), ejecuta directamente el archivo de sesión utilizando loadfile(filepath) seguido de f(). Este paso crucial activa el código Lua inyectado, lo que lleva a la Ejecución Remota de Código.

Esta vulnerabilidad es particularmente grave porque Wing FTP Server a menudo se ejecuta con privilegios de root en Linux o privilegios de SYSTEM en Windows de forma predeterminada. Esta configuración predeterminada otorga a los atacantes el máximo control sobre el sistema comprometido tras una explotación exitosa.

Versiones afectadas: Las versiones de Wing FTP Server anteriores a 7.4.4 son vulnerables.

🛠️ Opciones de uso

Este script admite varios argumentos de línea de comandos para adaptar su funcionalidad.

python3 CVE-2025-47812.py -h

usage: CVE-2025-47812.py.py [-h] [-u URL] [-f FILE] [-c COMMAND] [-v] [-o OUTPUT] [-U USERNAME]

Exploit script for command injection via login.html.

options:
  -h, --help            muestra este mensaje de ayuda y sale
  -u URL, --url URL     URL de destino (por ejemplo, [http://192.168.134.130](http://192.168.134.130)). Requerido si no se especifica -f.
  -f FILE, --file FILE  Archivo que contiene la lista de URLs objetivo (una por línea).
  -c COMMAND, --command COMMAND
                        Comando personalizado a ejecutar. Por defecto: whoami. Si se especifica, la salida detallada se habilita automáticamente.
  -v, --verbose         Muestra la salida completa del comando (modo detallado). Se ignora si se usa -c ya que el modo detallado se auto-habilita.
  -o OUTPUT, --output OUTPUT
                        Archivo para guardar las URLs vulnerables.
  -U USERNAME, --username USERNAME
                        Nombre de usuario a usar en el payload del exploit. Por defecto: anonymous

python3 CVE-2025-47812.py -u http://192.168.134.130 -c ipconfig