CVE-2025-68613-n8n-rce-analysis — CVE-2025-68613 (n8n) Análise crítica de RCE + recomendações defensivas (validação de patch, ideias de detecção e dicas de hardening) | Kitploit

⚡ Estatísticas Rápidas

🔥 Métrica	📊 Valor
Pontuação CVSS	9.9 / 10
Instâncias Expostas	103.476+
Complexidade do Ataque	BAIXA
Autenticação Necessária	Sim (Privilégio Baixo)
Interação do Utilizador	Nenhuma

🎯 Factos-Chave

📌 Propriedade	📝 Valor
Divulgado	18 Dez 2025
Vetor	Rede (AV:N)
Âmbito	Alterado
Impacto	CIA = ALTO
Tipo de Exploit	Injeção de Expressão

Propriedade	Valor
🆔 ID CVE	CVE-2025-68613
📊 Pontuação CVSS	9.9 (Crítico) 🔴
🔗 Vetor CVSS	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H`
🏷️ CWE	CWE-913 (Controlo Inadequado de Recursos de Código Geridos Dinamicamente)
📦 Versões Afetadas	0.211.0 → 1.120.3, 1.121.0
✅ Versões Corrigidas	1.120.4, 1.121.1, 1.122.0+

🏢 Caso de Uso	📝 Descrição
🔧 DevOps	Pipelines de automação, integrações CI/CD
🛡️ Operações de Segurança	Workflows SOAR, resposta a incidentes
💼 Negócios	Automação de processos, workflows de dados
📊 Dados	Processos ETL, integrações de API

🔓 VULNERABILITY CHAIN:
┌─────────────────────────────────────────────────────────────────┐
│  📝 n8n Expression Language → Dynamic Data Handling            │
│                           ↓                                     │
│  ⚠️  Insufficient Sandbox Isolation in Server-Side Eval        │
│                           ↓                                     │
│  💀 Malicious Expression Escapes Sandbox                       │
│                           ↓                                     │
│  🖥️  Access to Node.js child_process Module                    │
│                           ↓                                     │
│  💥 FULL RCE - OS Command Execution                            │
└─────────────────────────────────────────────────────────────────┘

#	📋 Requisito	📝 Detalhes
1️⃣	Autenticação	Conta de utilizador n8n válida (privilégio baixo é suficiente)
2️⃣	Permissões	Capacidade de criar/editar workflows
3️⃣	Acesso à Rede	Capacidade de alcançar a instância n8n

graph TD
    A[🔐 Utilizador Autenticado] -->|Cria| B[📝 Novo Workflow]
    B -->|Injeta| C[💀 Expressão Maliciosa]
    C -->|Aciona| D[⚡ Avaliação da Expressão]
    D -->|Explora| E[🔓 Fuga da Sandbox]
    E -->|Acede a| F[🖥️ Runtime Node.js]
    F -->|Executa| G[💥 Comando OS via child_process]
    G -->|Alcança| H[☠️ COMPROMETIMENTO TOTAL DO SERVIDOR]
    
    style A fill:#4CAF50,color:#fff
    style C fill:#ff9800,color:#fff
    style E fill:#f44336,color:#fff
    style H fill:#9c27b0,color:#fff

🎯 Payload	📋 Saída Esperada
`id`	`uid=1000(node) gid=1000(node) groups=1000(node)`
`pwd`	`/app`
`cat /etc/passwd`	Lista completa de utilizadores do sistema (root, daemon, node, etc.)
`env`	Todas as variáveis de ambiente incluindo segredos
`ls -la /`	Listagem do sistema de ficheiros raiz

┌─────────────────────────────────────────────────────────────────────────┐
│  🔴 VULNERABILITY ROOT CAUSE                                            │
├─────────────────────────────────────────────────────────────────────────┤
│                                                                         │
│  The n8n expression evaluator LACKS a sanitizer to prevent function     │
│  expressions from accessing:                                            │
│                                                                         │
│    ❌ this.process        → Node.js process object                      │
│    ❌ mainModule.require  → Module loading system                       │
│    ❌ child_process       → OS command execution                        │
│                                                                         │
│  This allows direct access to system modules and arbitrary code exec!   │
│                                                                         │
└─────────────────────────────────────────────────────────────────────────┘

🎯 Tipo de Impacto	📝 Descrição
💻 Execução de Comandos Arbitrários	Executar qualquer comando OS
📂 Acesso ao Sistema de Ficheiros	Ler/escrever qualquer ficheiro
🔑 Exposição de Variáveis de Ambiente	Chaves de API, segredos divulgados
☠️ Comprometimento Total do Sistema	Tomada total do servidor

🛡️ Gravidade	📊 Classificação
Pontuação CVSS	9.9 / 10
Complexidade do Ataque	BAIXA
Privilégios Necessários	BAIXOS
Interação do Utilizador	NENHUMA

Fase	🔥 Ação	💀 Impacto
1️⃣	Acesso Inicial	Autenticar no n8n
2️⃣	Execução	Submeter workflow malicioso
3️⃣	Persistência	Implantar reverse shell/backdoor
4️⃣	C2	Estabelecer comando & controlo
5️⃣	Ações	Exfiltrar dados, movimento lateral

🎯 Ação	💥 Nível de Impacto
🔑 Roubo de Credenciais	Extrair chaves API, tokens OAuth, passwords BD
📤 Exfiltração de Dados	Dados de workflows, logs de execução, info de negócio
🔒 Persistência	Cron jobs, scripts de inicialização, web shells
🔀 Movimento Lateral	Pivot para bases de dados, CI/CD, infra cloud
🗑️ Manipulação de Workflows	Modificar/destruir lógica de automação

#	📋 Método	🔍 O que Monitorizar
📜	Análise de Logs	Comandos invulgares do processo n8n, expressões falhadas
🌐	Rede	Conexões de saída para IPs desconhecidos, grandes pedidos POST
⚡	Runtime	Invocações de `child_process`, spawns inesperados
📦	Auditoria de Versão	Verificar contra intervalo de versões vulneráveis

#!/usr/bin/env bash
# 🔍 CVE-2025-68613 n8n version audit

echo "🔍 Checking n8n version..."

if command -v n8n >/dev/null 2>&1; then
    VER="$(n8n --version | tr -d 'v' | head -n1)"
    
    if [[ "$VER" < "1.120.4" ]] && [[ "$VER" >= "0.211.0" ]]; then
        echo "⚠️  VULNERABLE: n8n $VER affected by CVE-2025-68613"
        echo "📦 Required: Upgrade to 1.120.4, 1.121.1, or 1.122.0+"
        exit 2
    else
        echo "✅ SAFE: n8n $VER is patched"
    fi
else
    echo "❌ n8n not found in PATH"
fi

🔢 Prioridade	🛠️ Ação	📝 Detalhes
🔴 P0	CORRIGIR AGORA	Atualizar para 1.120.4, 1.121.1 ou 1.122.0+
🟠 P1	Restringir Acesso	Limitar criação de workflows a utilizadores de confiança
🟡 P2	Reforço do Contentor	Implantar com restrições de segurança

# 🛡️ Hardened n8n deployment
FROM n8n/n8n:1.122.0

# 👤 Run as non-root user
USER node

# 🔒 Apply these runtime flags:
# --read-only --tmpfs /tmp:rw,noexec,nosuid
# --cap-drop=ALL --cap-add=NET_BIND_SERVICE
# --security-opt seccomp=n8n-seccomp.json

🛡️ Medida	📝 Implementação
🌐 Segmentação de Rede	Isolar instâncias n8n
🔥 Regras WAF	Monitorizar padrões de expressão
📜 Registo de Auditoria	Ativar registo abrangente
🔍 Revisões de Segurança	Avaliações regulares de workflows
🔓 Menor Privilégio	Aplicar controlos de acesso

🏷️ Atributo	📊 Valor	🔥 Risco
Complexidade	BAIXA (AC:L)	🔴 Alto
Interação do Utilizador	Nenhuma Necessária	🔴 Alto
Âmbito	Alterado	🔴 Crítico

CVE-2025-68613-n8n-rce-analysis

Mais Populares

📑 Índice

🎯 Resumo Executivo

⚡ Estatísticas Rápidas

🎯 Factos-Chave

🐛 A Vulnerabilidade

📋 Visão Geral da CVE

🤖 O que é o n8n?

🔧 Causa Raiz Técnica

🔬 Análise Técnica

🎯 Superfície de Ataque

⚔️ Características do Ataque

🗺️ Diagrama do Fluxo da Vulnerabilidade

💀 Passo a Passo de Exploração

📸 Capturas de Ecrã Passo a Passo da Exploração

🖥️ Passo 1: Aceder à Instância n8n

➕ Passo 2: Criar Novo Workflow

⚡ Passo 3: Adicionar Gatilho Manual

📦 Passo 4: Adicionar Nó Set

💉 Passo 5: Injetar Payload RCE

💉 Exemplos de Payload

🔹 Comando ID (Informação do Utilizador)

🔹 Comando PWD (Diretório Atual)

🔹 Leitura de Ficheiro (/etc/passwd)

🔹 Template de Comando Personalizado

📸 PoC de Exploração de Leitura de Ficheiro

📤 Saída Esperada

🔍 Análise da Causa Raiz

💀 Resumo do Impacto

✅ Mitigação

🎬 Cadeia de Eliminação do Ataque

☠️ Capacidades de Pós-Exploração

💥 Avaliação de Impacto

🔺 Análise da Tríade CIA

🔴 Confidencialidade (ALTA)

🟠 Integridade (ALTA)

🟡 Disponibilidade (ALTA)

🌍 Exposição no Mundo Real

🔍 Deteção e Resposta

🔎 Estratégias de Deteção

🛠️ Script de Auditoria de Versão

🚨 Lista de Verificação de Resposta a Incidentes

🛡️ Estratégia de Mitigação

⚡ Ações Imediatas (Prioridade 0)

🐳 Exemplo de Reforço de Contentor

🔐 Segurança a Longo Prazo

💬 Pergunta para Blue Teamers 🔵

📚 Referências

📋 Avisos Oficiais

🔬 Análise Técnica

🎮 Recursos Práticos

🏷️ Tags