CVE-2025-45955

Falsificación de solicitudes del lado del servidor en DonWeb Ferozo (CVE-2025-45955)

Descripción

Un atacante puede explotar esta vulnerabilidad subiendo y ejecutando un archivo PHP especialmente manipulado en la plataforma de hosting Ferozo. Cuando se accede a él, el archivo lanza una serie de intentos de SSRF dirigidos a servicios internos (como 127.0.0.1, 169.254.169.254 o endpoints de service mesh), archivos locales (p. ej., file:///etc/passwd) y endpoints conocidos de metadatos en la nube. El script recopila respuestas o mensajes de error, lo que permite al atacante mapear la infraestructura interna, enumerar servicios accesibles y recopilar información sensible para una explotación posterior.

Prueba de Concepto (PoC)

El siguiente código demuestra la vulnerabilidad:

<?php
$targets = [
  "file:///etc/hosts",
  "file:///etc/resolv.conf",
  "http://127.0.0.1/",
  "http://169.254.169.254/latest/meta-data/"
];
foreach ($targets as $url) {
  echo "[*] Trying: $url\n";
  $res = @file_get_contents($url);
  echo $res ? substr($res, 0, 500) : "Request failed or unreadable.\n";
}
?>

Componente Afectado

• Plataforma de hosting Ferozo (DonWeb)
• Entornos basados en PHP que permiten la ejecución de archivos PHP subidos por el usuario o controlados por el usuario

Impacto

• Divulgación de información: Filtra IPs internas, contenidos de archivos, endpoints de metadatos en la nube
• Reconocimiento de infraestructura: Permite la enumeración de puertos y servicios (Docker, Kubelet, etc.)
• Potencial de explotación en la nube: Sondea endpoints de metadatos conocidos como AWS, GCP y Alibaba
• Oportunidad de encadenamiento: Puede combinarse con otras vulnerabilidades locales para RCE o pivoting

Remediación

• Restringir las funciones de inclusión de archivos y acceso a URL (file_get_contents, fopen, etc.)
• Bloquear el acceso a rangos de IP internos (127.0.0.0/8, 169.254.169.254, etc.) mediante reglas de firewall de salida
• Auditar y sanitizar las entradas de usuario que puedan influir en rutas de archivo o URLs

ID de CVE

CVE-2025-45955

Descubridor

Reportado por [Facundo Fernandez, Jinook Kim, Surendra Puppala / Security Researchers | @BYU]