🔐 Simulazione di Attacco Ripetibile – CVE-2025-20029

⚠️ Questo repository simula CVE-2025-20029 in un ambiente sicuro e controllato.
Non interagisce con sistemi F5 BIG-IP reali né sfrutta alcun servizio di produzione.
L'obiettivo è educativo: studiare il pattern della vulnerabilità e testare i payload in modo sicuro.

🛠 Informazioni su CVE-2025-20029

CVE-2025-20029 è una vulnerabilità di command injection ad alta severità che colpisce i sistemi F5 BIG-IP.
Il problema risiede nella iControl REST API che, in determinate configurazioni, consente a un utente autenticato di eseguire comandi di sistema arbitrari tramite l'endpoint /mgmt/tm/util/bash.

• Impatto: Esecuzione Remota di Codice (RCE) come root
• Autenticazione Richiesta: Sì (un utente standard è sufficiente)
• CVSS v3.1 Score: 8.8
• Vettore di Attacco: HTTP POST verso iControl REST con payload JSON creato ad hoc

Questa simulazione dimostra come la vulnerabilità potrebbe essere sfruttata in un ambiente controllato e containerizzato.

🧪 Panoramica dello Script Exploit

Lo script exploit/exploit.py simula uno scenario di esecuzione remota di codice inviando un payload JSON creato ad hoc all'endpoint vulnerabile F5 BIG-IP /mgmt/tm/util/bash.

Funzionalità chiave:

• Invia una richiesta POST con un payload JSON come {"command": "id"}
• Emula una configurazione errata reale in cui l'input fornito dall'utente viene passato direttamente a bash
• Stampa le risposte del server per confermare l'esecuzione

Questo script è volutamente minimale per rendere trasparente e facilmente modificabile il percorso dell'exploit.
È ideale per testare, riprodurre il vettore di attacco o essere incorporato in laboratori di formazione.

🧯 Limitazioni del PoC

Questo progetto non:

• Include il codice F5 vulnerabile reale
• Utilizza accesso non sicuro o non autorizzato a infrastrutture reali
• Riproduce l'esatta vulnerabilità di serializzazione di CVE-2025-20029

Invece, si concentra su:

• Comprendere la logica dell'attacco
• Riprodurre in sicurezza il comportamento post-sfruttamento
• Insegnare ad altri come sono strutturati tali attacchi

🐳 Caratteristiche

• PoC riproducibile in un laboratorio containerizzato Docker
• Riproduzione con un comando (replay.sh)
• Report generato automaticamente (report.md)
• Tagging CVSS/metadati tramite meta.yaml

🖥️ Come Usare

1. Prerequisiti

• Docker + Docker Compose
• Python 3.8+

2. Eseguire la Simulazione

cd CVE-2025-20029

# Make scripts executable
chmod +x replay.sh

# Run the exploit + generate Markdown report
sudo ./replay.sh

📁 Struttura della Directory

.
├── app.py               # Flask mock app simulating vulnerable endpoint
├── Dockerfile
├── docker-compose.yml
├── replay.sh
├── report.md /         # Auto-generated report
├── exploit/
│   └── exploit.py
├── logs/
│   └── run1.log
├── meta.yaml
├── detection.md
├── remediation.md
├── utils/
│   ├── report_generator.py

📄 Meta

CVE: CVE-2025-20029

• Severità: Alta
• CVSS: 8.8
• Tag: command-injection, rest-api, auth-required
• Sicuro da Eseguire? ✅ Sì — completamente isolato tramite Docker.

📚 Riferimento PoC

Questa simulazione è stata ispirata dalla ricerca pubblica su CVE-2025-20029:

• 🔗 CyberSecurityNews – Rilasciato PoC Exploit per F5 BIG-IP CVE-2025-20029

💡 Nota L'implementazione qui non è una copia 1:1 di alcun ambiente di produzione, ma un mock-up minimale ed educativo che utilizza Flask e Docker per dimostrare in sicurezza la logica principale della vulnerabilità.