🔐 Воспроизводимая симуляция атаки – CVE-2025-20029

⚠️ Этот репозиторий воспроизводит CVE-2025-20029 в безопасной и контролируемой среде.
Он не взаимодействует с реальными системами F5 BIG-IP и не эксплуатирует какие-либо производственные сервисы.
Цель — образовательная: изучить паттерн уязвимости и безопасно протестировать полезные нагрузки.

🛠 О CVE-2025-20029

CVE-2025-20029 — это уязвимость высокой степени серьезности, связанная с внедрением команд и затрагивающая системы F5 BIG-IP.
Проблема находится в iControl REST API, который при определенных конфигурациях позволяет аутентифицированному пользователю выполнять произвольные системные команды через конечную точку /mgmt/tm/util/bash.

• Воздействие: удаленное выполнение кода (RCE) с правами root
• Требуется аутентификация: да (достаточно стандартного пользователя)
• Оценка CVSS v3.1: 8.8
• Вектор атаки: HTTP POST к iControl REST со специально сформированной JSON-полезной нагрузкой

Эта симуляция демонстрирует, как уязвимость может быть использована в контролируемой контейнерной среде.

🧪 Обзор эксплойт-скрипта

Скрипт exploit/exploit.py имитирует сценарий удаленного выполнения кода, отправляя специально сформированную JSON-полезную нагрузку на уязвимую конечную точку F5 BIG-IP /mgmt/tm/util/bash.

Ключевые возможности:

• Отправляет POST-запрос с JSON-полезной нагрузкой вида {"command": "id"}
• Эмулирует реальную ошибочную конфигурацию, при которой вводимые пользователем данные передаются напрямую в bash
• Выводит ответы сервера для подтверждения выполнения

Этот скрипт намеренно минималистичен, чтобы путь эксплуатации был прозрачным и легко изменяемым.
Он идеально подходит для тестирования, воспроизведения вектора атаки или включения в учебные лаборатории.

🧯 Ограничения PoC

Этот проект не:

• Включает реальную уязвимую кодовую базу F5
• Использует небезопасный или несанкционированный доступ к какой-либо реальной инфраструктуре
• Воспроизводит точную уязвимость сериализации из CVE-2025-20029

Вместо этого он сосредоточен на:

• Понимании логики атаки
• Безопасном воспроизведении поведения после эксплуатации
• Обучении других тому, как устроены подобные атаки

🐳 Возможности

• Воспроизводимый PoC в Docker-изолированной лаборатории
• Повторный запуск одной командой (replay.sh)
• Автоматически создаваемый отчет (report.md)
• Тегирование CVSS/метаданных через meta.yaml

🖥️ Как использовать

1. Предварительные требования

• Docker + Docker Compose
• Python 3.8+

2. Запуск симуляции

cd CVE-2025-20029

# Сделать скрипты исполняемыми
chmod +x replay.sh

# Запустить эксплойт и сгенерировать Markdown-отчет
sudo ./replay.sh

📁 Структура каталога

.
├── app.py               # Flask mock app simulating vulnerable endpoint
├── Dockerfile
├── docker-compose.yml
├── replay.sh
├── report.md /         # Auto-generated report
├── exploit/
│   └── exploit.py
├── logs/
│   └── run1.log
├── meta.yaml
├── detection.md
├── remediation.md
├── utils/
│   ├── report_generator.py

📄 Метаданные

CVE: CVE-2025-20029

• Серьезность: высокая
• CVSS: 8.8
• Теги: command-injection, rest-api, auth-required
• Безопасно запускать? ✅ Да — полностью изолировано через Docker.

📚 Справочный PoC

Эта симуляция вдохновлена публичными исследованиями CVE-2025-20029:

• 🔗 CyberSecurityNews – PoC Exploit Released for F5 BIG-IP CVE-2025-20029

💡 Примечание Реализация здесь — не точная копия какого-либо производственного окружения, а минимальный образовательный макет на Flask и Docker, безопасно демонстрирующий основную логику уязвимости.