CVE-2025-65862 — Документация, анализ и инструмент автоматизации (только для исследовательских целей)

⚠️ Этическое и правовое предупреждение Все материалы в этом репозитории предоставлены исключительно для:

• исследований в области безопасности,
• обучения,
• анализа уязвимостей,
• и тестирования в среде, которая принадлежит вам или на которую получено явное разрешение.

Эксплуатация, злоупотребление багом или загрузка вредоносных файлов на сторонние серверы без разрешения является незаконным действием и нарушает законодательство Индонезии (UU ITE), а также международное право.
Автор не несёт ответственности за неправомерное использование описанных инструментов или техник.

---

📌 Краткое описание CVE-2025-65862

• CVE ID : CVE-2025-65862
• Затронутый продукт : SLiMS Bulian v9.7.2
• Классификация : Произвольная загрузка файлов → Удалённое выполнение кода (RCE)
• Степень серьёзности : Средняя
• Источник публичного исследования :
  https://medium.com/@xpl0dec/zeroday-slims9-bulian-v9-7-2-arbitrary-file-write-to-rce-6a458ad7960f

🧩 В чём проблема?

В SLiMS Bulian 9.7.2 существует неправильная конфигурация при загрузке пользователем (с слабыми учётными данными) ZIP-архива плагина.

Схема работы:

1. Приложение принимает загрузку ZIP-файла.
2. Система выполняет автоматическое извлечение.
3. Извлечённые файлы помещаются в: /plugins/
4. Все файлы внутри ZIP извлекаются, включая файлы .php.
5. Если ZIP содержит файл-бэкдор, например:

   └── myplugin/
   └── shell.php
   

   Тогда файл становится доступен по адресу: /plugins/myplugin/shell.php
6. Это может привести к произвольной загрузке файлов → удалённому выполнению кода, если пользователь использует слабую комбинацию учётных данных.

---

🔍 Индикаторы компрометации (IOC)

Если вы управляете SLiMS, обратите внимание на следующее:

• Подозрительная папка в /plugins/
• Посторонние PHP-файлы внутри папки плагина
• Журналы загрузки плагинов от учётной записи с слабым паролем
• Необычная файловая активность после загрузки .zip-файла
• Подозрительные запросы по адресу: /plugins/<имя-плагина>/something.php

---

🛡️ Меры по смягчению угрозы и рекомендации

1. Обновите SLiMS до последней версии или примените доступные патчи безопасности.
2. Смените пароль администратора/пользователя на надёжный (согласно правилам CISA.gov).
3. Отключите загрузку плагинов, если они не используются.
4. Мониторьте каталог /plugins/ и удаляйте неизвестные файлы.
5. Проверьте журналы администратора на предмет несанкционированных загрузок.
6. Изолируйте систему, если подозреваете компрометацию.
7. Восстановитесь из резервной копии, созданной до инцидента.

---

⚙️ Документация скрипта автоматизации

Данный скрипт предназначен для:

• автоматизации тестирования неправильной конфигурации CVE-2025-65862,
• проверки уязвимости конкретного экземпляра SLiMS,
• загрузки ZIP-архива плагина, содержащего полезную нагрузку для исследований.

---

🎛️ Аргументы

Флаг	Функция
-l	Путь к файлу со списком целевых SLiMS
-f	ZIP-архив плагина для тестирования (содержит исследовательскую нагрузку/бэкдор)
-o	Сохранение результата

---

▶️ Пример использования

---

📦 Зависимости

Установите следующие библиотеки перед запуском инструмента: pip install httpx beautifulsoup4 urllib3

Встроенные библиотеки Python (установка не требуется):

• argparse
• random
• datetime
• time
• os
• re
• concurrent.futures

---

🔐 Лицензия

Данный репозиторий распространяется под лицензией Proprietary — All Rights Reserved
с целью предотвратить неправомерное использование исследовательского инструмента третьими лицами.

Вам запрещается:

• распространять,
• модифицировать,
• продавать данный инструмент без разрешения автора.

---

📝 Заключение

Этот репозиторий создан для документирования уязвимости, технического анализа и разработки инструментов тестирования.
Используйте этично и профессионально.