CVE-2026-6875 ServiceNow Pre-Auth RCE Framework 🔥 JS-инъекция → обход песочницы → RCE → root. Функции: --detect, --exec, обратный/интерактивный шелл, многопоточный пакетный режим, обход WAF, закрепление, горизонтальное перемещение, дамп учётных данных, бесфайловое выполнение, очистка следов. 🛡️ CVSS 9.5, активно эксплуатируется. Только авторизованное и легальное использование. Оставайтесь в рамках закона. 🔒
tc4dy/cve-2026-6875-poc-exploit
Фреймворк эксплойта и безопасный верификатор
Только для авторизованного тестирования на проникновение.
Этот инструмент предоставляется исключительно в образовательных целях и для авторизованного тестирования на проникновение.
Авторы и участники не несут ответственности за любое неправомерное использование или ущерб, причинённый этим программным обеспечением. Пользователи несут полную ответственность за получение явного письменного разрешения от владельца целевой системы перед тестированием. Несанкционированный доступ к компьютерным системам является незаконным в соответствии с Computer Fraud and Abuse Act (CFAA) и аналогичными законами по всему миру.
Используя это программное обеспечение, вы соглашаетесь:
ВНИМАНИЕ: Эта уязвимость активно эксплуатируется в реальных атаках. Несанкционированное использование может повлечь серьёзные юридические последствия.
CVE-2026-6875 — критическая уязвимость удалённого выполнения кода (RCE) без аутентификации в ServiceNow AI Platform (ранее Now Platform). Она позволяет злоумышленникам обойти песочницу скриптов и выполнить произвольные системные команды с привилегиями приложения ServiceNow.
JavaScript-инъекция: Конечная точка assessment_thanks.do принимает параметр sysparm_assessable_type. Добавив к значению префикс javascript:, злоумышленник внедряет произвольный JavaScript-код.
Побег из песочницы: Изощрённый гаджет для обхода песочницы (цепочка DiscoveryFunctions.getCacheObjectForTable, AbstractAjaxProcessor и Class.create) снимает ограничение песочницы JavaScript.
Удалённое выполнение кода: Внедрённый Java-код (через java.lang.Runtime.exec()) выполняется с привилегиями приложения ServiceNow, что позволяет полностью скомпрометировать систему.
Повышение привилегий: Модули постэксплуатации пытаются повысить привилегии до root через ошибки конфигурации sudo, SUID-бинарники, доступные для записи задания cron или эксплойты ядра.
| Атрибут | Значение |
|---|---|
| [>] Обнаружена | 1 апреля 2026 г. (Searchlight Cyber) |
| [>] Оценка CVSS | 9.5 (КРИТИЧЕСКАЯ) |
| [>] CISA KEV | Добавлена 13 июля 2026 г. |
| [>] Уязвимые продукты | Self-hosted ServiceNow AI Platform |
| [>] Исправленные версии | Brazil EA/GA, Australia Patch 2, Zurich Patch 7b/9, Yokohama Patch 12 Hot Fix 1b/13 |
| [>] Аутентификация | Не требуется (Pre-Auth) |
| [>] Активная эксплуатация | Подтверждена в реальных атаках (июль 2026 г.) |
exploit.py)Полноценный боевой эксплойт объединяет JavaScript-инъекцию и побег из песочницы для достижения удалённого выполнения кода, с продвинутыми модулями постэксплуатации для закрепления, бокового перемещения и дампа учётных данных.
| Возможность | Описание |
|---|---|
| [+] JavaScript-инъекция | Внедряет полезную нагрузку через параметр sysparm_assessable_type. |
| [+] Побег из песочницы | Обходит песочницу скриптов ServiceNow для выполнения произвольного Java-кода. |
| [+] Интерактивная оболочка | Запускает живую оболочку с поддержкой множества команд. |
| [+] Повышение привилегий до root | Проверяет ошибки конфигурации sudo, SUID-бинарники и задания cron. |
| [+] Файловые операции | Загружает веб-шеллы, читает/скачивает файлы через base64-кодирование. |
| [+] Массовое сканирование | Массовая эксплуатация нескольких целей с многопоточностью (флаг -l). |
| [+] Безопасное обнаружение | Опциональный флаг --detect для неинтрузивной проверки уязвимости. |
| [+] Обход WAF | Встроенные техники обфускации для обхода WAF/IDS (6 техник). |
| [+] Закрепление | Устанавливает бэкдоры через cron/systemd/schtasks. |
| [+] Боковое перемещение | Сканирует локальную сеть на другие уязвимые хосты и пытается распространиться через SSH/SSRF. |
| [+] Заметание следов | Удаляет логи, историю bash и журналы аудита. |
| [+] Бесфайловое выполнение | Использует Java ClassLoader для запуска резидентных в памяти полезных нагрузок без записи на диск. |
| [+] Callback-сервер | Встроенный HTTP-сервер для приёма вывода команд (опционально). |
| [+] Webhook-уведомления | Отправляет результаты на пользовательский URL (Slack, Discord и т. д.). |
| [+] Кроссплатформенность | Поддерживает цели на Linux и Windows (cmd.exe / PowerShell). |
| [+] Потокобезопасность | Использует механизмы блокировки для параллельных операций. |
| [+] Определение версии | Определяет версию ServiceNow (Zurich/Brazil/Australia/Yokohama). |
| Команда | Описание |
|---|---|
exec <cmd> | Выполнить системную команду |
upload <local> [remote] | Загрузить веб-шелл на цель |
download <remote> | Скачать и отобразить содержимое файла |
privesc | Попытаться повысить привилегии |
reverse <host> <port> | Отправить обратную оболочку |
dumpcred | Дамп учётных данных из конфигураций ServiceNow |
persist <host> <port> | Установить закрепление (cron/systemd/schtasks) |
lateral | Попытаться выполнить боковое перемещение |
clean | Замести следы (логи, история) |
memory <host> <port> | Выполнить бесфайловую Java-нагрузку |
exit | Выйти из интерактивной оболочки |
verifier.py)Безопасный верификатор выполняет неинтрузивное обнаружение уязвимости без выполнения вредоносных полезных нагрузок и без внесения изменений в систему.