CVE-2026-6875 Framework RCE Pré-Auth ServiceNow 🔥 Injection JS → Évasion de sandbox → RCE → Root. Fonctionnalités : --detect, --exec, shell inverse/interactif, traitement par lots avec threads, contournement WAF, persistance, mouvement latéral, extraction d’identifiants, exécution sans fichier, nettoyage des traces. 🛡️ CVSS 9,5 activement exploité. Utilisation autorisée et légale uniquement. Restez légal. 🔒
tc4dy/cve-2026-6875-poc-exploit
Framework d'exploitation & Vérificateur sécurisé
Pour tests de sécurité autorisés uniquement.
Cet outil est fourni à des fins éducatives et de tests d'intrusion autorisés uniquement.
Les auteurs et contributeurs ne sont pas responsables de toute mauvaise utilisation ou dommage causé par ce logiciel. Les utilisateurs sont seuls responsables de s'assurer qu'ils disposent d'une autorisation écrite explicite du propriétaire de la cible avant tout test. L'accès non autorisé à des systèmes informatiques est illégal en vertu du Computer Fraud and Abuse Act (CFAA) et de lois similaires dans le monde entier.
En utilisant ce logiciel, vous acceptez de :
AVERTISSEMENT : Cette vulnérabilité est activement exploitée dans la nature. Une utilisation non autorisée peut entraîner de graves conséquences juridiques.
CVE-2026-6875 est une vulnérabilité critique d'exécution de code à distance (RCE) non authentifiée dans la ServiceNow AI Platform (anciennement Now Platform). Elle permet aux attaquants de contourner le sandbox de scripts et d'exécuter des commandes système arbitraires avec les privilèges de l'application ServiceNow.
Injection JavaScript : Le point de terminaison assessment_thanks.do accepte un paramètre sysparm_assessable_type. En préfixant la valeur par javascript:, un attaquant injecte du code JavaScript arbitraire.
Évasion de Sandbox : Un gadget sophistiqué d'évasion de sandbox (enchaînant DiscoveryFunctions.getCacheObjectForTable, AbstractAjaxProcessor et Class.create) lève la restriction du sandbox JavaScript.
Exécution de code à distance : Le code Java injecté (via java.lang.Runtime.exec()) s'exécute avec les privilèges de l'application ServiceNow, permettant une compromission complète du système.
Élévation de privilèges : Les modules de post‑exploitation tentent d'élever les privilèges vers root via des erreurs de configuration sudo, des binaires SUID, des tâches cron inscriptibles ou des exploits du noyau.
| Attribut | Valeur |
|---|---|
| [>] Découverte | 1er avril 2026 (Searchlight Cyber) |
| [>] Score CVSS | 9.5 (CRITIQUE) |
| [>] CISA KEV | Ajouté le 13 juillet 2026 |
| [>] Produits affectés | ServiceNow AI Platform auto‑hébergée |
| [>] Versions corrigées | Brazil EA/GA, Australia Patch 2, Zurich Patch 7b/9, Yokohama Patch 12 Hot Fix 1b/13 |
| [>] Authentification | Non requise (Pré‑Auth) |
| [>] Exploitation active | Confirmée dans la nature (juillet 2026) |
exploit.py)L'exploit complet weaponisé enchaîne l'injection JavaScript et l'évasion de sandbox pour obtenir une exécution de code à distance, avec des modules avancés de post‑exploitation pour la persistance, le mouvement latéral et l'extraction d'identifiants.
| Fonctionnalité | Description |
|---|---|
| [+] Injection JavaScript | Injecte la charge utile via le paramètre sysparm_assessable_type. |
| [+] Évasion de Sandbox | Contourne le sandbox de scripts de ServiceNow pour exécuter du code Java arbitraire. |
| [+] Shell interactif | Lance un shell en direct avec support de plusieurs commandes. |
| [+] Élévation de privilèges Root | Vérifie les erreurs de configuration sudo, les binaires SUID et les tâches cron. |
| [+] Opérations sur fichiers | Téléverse des webshells, lit/télécharge des fichiers via encodage base64. |
| [+] Scan de masse | Exploite massivement plusieurs cibles avec threading (option -l). |
| [+] Détection sécurisée | Option --detect pour une vérification non intrusive de la vulnérabilité. |
| [+] Contournement WAF | Techniques d'obfuscation intégrées pour échapper au WAF/IDS (6 techniques). |
| [+] Persistance | Installe des backdoors cron/systemd/schtasks. |
| [+] Mouvement latéral | Scanne le réseau local pour d'autres hôtes vulnérables et tente une propagation SSH/SSRF. |
| [+] Effacement des traces | Supprime les logs, l'historique bash et les pistes d'audit. |
| [+] Exécution sans fichier | Utilise Java ClassLoader pour exécuter des charges utiles résidentes en mémoire sans écrire sur le disque. |
| [+] Serveur de rappel | Serveur HTTP intégré pour recevoir la sortie des commandes (optionnel). |
| [+] Notifications Webhook | Envoie les résultats à une URL personnalisée (Slack, Discord, etc.). |
| [+] Multi‑plateforme | Prend en charge les cibles Linux et Windows (cmd.exe / PowerShell). |
| [+] Thread‑Safe | Utilise des mécanismes de verrouillage pour les opérations concurrentes. |
| [+] Détection de version | Détecte la version de ServiceNow (Zurich/Brazil/Australia/Yokohama). |
| Commande | Description |
|---|---|
exec <cmd> | Exécuter une commande système |
upload <local> [remote] | Téléverser un webshell sur la cible |
download <remote> | Télécharger et afficher le contenu d'un fichier |
privesc | Tenter une élévation de privilèges |
reverse <host> <port> | Envoyer un reverse shell |
dumpcred | Extraire les identifiants des configurations ServiceNow |
persist <host> <port> | Installer la persistance (cron/systemd/schtasks) |
lateral | Tenter un mouvement latéral |
clean | Effacer les traces (logs, historique) |
memory <host> <port> | Exécuter une charge utile Java sans fichier |
exit | Quitter le shell interactif |
verifier.py)Le vérificateur sécurisé effectue une détection non intrusive de la vulnérabilité sans exécuter de charges utiles nuisibles ni effectuer de modifications système.