CVE-2025-4428 e CVE-2025-4427

CVE-2025-4428 è una vulnerabilità di esecuzione remota di codice post-autenticazione in DeviceFeatureUsageReportQueryRequestValidator di EPMM. Deriva dalla gestione non sicura dell'input fornito dall'utente all'interno dei messaggi di errore elaborati tramite AbstractMessageSource di Spring, che consente l'iniezione di EL (Expression Language) controllata dall'attaccante. Un parametro format manipolato nell'endpoint /api/v2/featureusage comporta l'esecuzione arbitraria di codice Java, confermata tramite iniezione di comandi (es. Runtime.exec()).

CVE-2025-4427 è un bypass dell'autenticazione causato da una gestione impropria delle richieste nella configurazione delle route di EPMM. Route come /rs/api/v2/featureusage sono state inavvertitamente esposte senza richiedere autenticazione a causa di regole mancanti nelle configurazioni di Spring Security. Ciò consente l'accesso non autenticato al sink RCE, permettendo una RCE pre-autenticazione completa quando concatenata con CVE-2025-4428. Tuttavia, come notato da watchTowr, questa è più accuratamente descritta come una falla nell'ordine delle operazioni, poiché la logica del validatore viene eseguita prima dei controlli di autenticazione.

Come funziona questo metodo di rilevamento?

Template di rilevamento versione. Rileva qualsiasi sistema in esecuzione: 11.12.0.4 e precedenti 12.3.0.1 e precedenti 12.4.0.1 e precedenti 12.5.0.0 e precedenti

Come eseguo questo script?

1. Scarica Nuclei da qui
2. Copia il template sul tuo sistema locale
3. Esegui il seguente comando: nuclei -u https://yourHost.com -t template.yaml