Entorno de Pruebas CVE-2025-34299

Entorno Docker de pruebas para CVE-2025-34299 - Vulnerabilidad de ejecución remota de código sin autenticación previa en Monsta FTP.

Detalles de la Vulnerabilidad

Descripción

Las versiones de Monsta FTP <= 2.11.2 contienen una vulnerabilidad de ejecución remota de código sin autenticación previa mediante la carga arbitraria de archivos sin restricciones. El endpoint de la API downloadFile (/mftp/application/api/api.php) acepta rutas de archivo controladas por el usuario sin la sanitización adecuada, lo que permite a los atacantes:

1. Enviar una petición POST con actionName: downloadFile
2. Especificar un servidor FTP malicioso bajo su control
3. Indicar a Monsta FTP que descargue archivos arbitrarios (incluyendo webshells de PHP) en ubicaciones arbitrarias del servidor
4. Lograr RCE con los privilegios del servidor web

Inicio Rápido

# Clone this repository
git clone https://github.com/KrE80r/CVE-2025-34299-lab.git
cd CVE-2025-34299-lab

# Start the vulnerable environment
docker-compose up -d

# Verify it's running
curl -s http://localhost:8080/mftp/ | grep -o "MonstaFTP"

Pruebas con Nuclei

# Test with nuclei template
nuclei -t CVE-2025-34299.yaml -u http://localhost:8080

# Expected output:
# [CVE-2025-34299] [http] [critical] http://localhost:8080/mftp/application/api/api.php ["2.10.4"]

Verificación Manual

# Check if the vulnerable API endpoint is accessible
curl -X POST http://localhost:8080/mftp/application/api/api.php \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d 'request={"connectionType":"ftp","configuration":{"host":"127.0.0.1","username":"test","initialDirectory":"/","password":"test","port":21},"actionName":"downloadFile","context":{"remotePath":"/test.txt","localPath":"/tmp/test.txt"}}'

# Expected response contains "CONNECTION_FAILURE_ERROR" proving the vulnerable code path is reached

Detalles del Entorno

• Imagen Base: php:7.4-apache
• Versión de Monsta FTP: 2.10.4 (vulnerable)
• Puerto por Defecto: 8080
• Ruta Web: /mftp/

Limpieza

# Stop and remove the container
docker-compose down

# Remove the image
docker rmi cve-2025-34299-lab-monsta-ftp-vulnerable

Referencias

• NVD - CVE-2025-34299
• Aviso de WatchTowr Labs
• Aviso de GitHub - GHSA-42m5-3r2p-wr92

Descargo de Responsabilidad

Este entorno se proporciona únicamente con fines de investigación y pruebas de seguridad. No lo utilice contra sistemas que no posea o para los que no tenga permiso explícito de prueba.

Licencia

Licencia MIT