Tasting the Exploit: HackerHood testa l’exploit su Wing FTP Server del CVE-2025-47812 da Score 10

Questo strumento è destinato esclusivamente a scopi didattici e di penetration testing autorizzati. L’autore non si assume alcuna responsabilità per eventuali usi impropri o danni causati da questo software. Assicurarsi sempre di avere un’autorizzazione esplicita e scritta prima di eseguire qualsiasi test su un sistema.

Negli ultimi giorni è stata portata all’attenzione della comunità infosec una grave vulnerabilità di tipo Remote Code Execution (CVE‑2025‑47812) nel software Wing FTP Server, ampiamente utilizzato per offrire servizi FTP, FTPS e HTTP a migliaia di aziende.

L’exploit per questa vulnerabilità, caratterizzata da una grave manipolazione di byte NULL e iniezione di codice Lua, è stata provata da Manuel Roccon, root del gruppo HackerHood di Red Hot Cyber, che ha creato recentemente un sotto gruppo chiamato Hackerhood Pwned dove verranno testati dagli esperti di sicurezza, i principali exploit che vengono pubblicati.

La vulnerabilità CVE‑2025‑47812 — con CVSSv3 = 10.0 — coinvolge una falla nella gestione di stringhe terminate da byte NULL in loginok.html, consentendo a un attaccante non autenticato di iniettare codice Lua arbitrario e tale exploit si è rilevato come esecuzione molto facile (3 in scala da 1 a 10) confermando quanto riportato dal NIST come LOW.

Questa vulnerabilità è dovuta alla gestione impropria da parte di Wing FTP Server dei byte NULL nel parametro username durante il processo di autenticazione. Ciò consente agli aggressori di iniettare codice Lua direttamente nei file di sessione. Questi file di sessione dannosi vengono quindi eseguiti al caricamento di una sessione valida, causando l’esecuzione di comandi arbitrari sul server.

Le caratteristiche principali di questo exploit includono:

• Esecuzione di codice remoto: esegui qualsiasi comando tu scelga sul server di destinazione.
• Privilegi Root/SYSTEM: spesso ottiene una RCE con i privilegi di sistema più elevati grazie alle configurazioni predefinite di Wing FTP Server.
• Sfruttamento dell’accesso anonimo: può essere sfruttato anche se sul server sono consentiti solo accessi anonimi.
• Scansione batch: esegue la scansione di più destinazioni fornendo un elenco di URL da un file.
• Esecuzione di comandi personalizzati: specifica ed esegui qualsiasi comando necessario sul server vulnerabile.

La vulnerabilità CVE-2025-47812 è un problema critico derivante da molteplici debolezze nel modo in cui Wing FTP Server gestisce l’autenticazione degli utenti e le sessioni:

1. Troncamento del byte NULL in c_CheckUser(): la c_CheckUser()funzione, responsabile dell’autenticazione dell’utente, utilizza internamente strlen()il nome utente fornito. Quando un byte NULL ( %00) viene iniettato nel nome utente (ad esempio, anonymous%00...), strlen() e tronca la stringa in questo punto. Ciò significa che l’autenticazione riesce per la parte del nome utente prima del byte NULL, bypassando di fatto la convalida corretta.
2. Nome utente completo nella creazione della sessione: nonostante il troncamento dell’autenticazione, la rawset(_SESSION, "username", username)chiamata all’interno loginok.html utilizza l’ intero nome utente non purificato direttamente dai parametri GET o POST. Questo include il byte NULL e tutti i caratteri successivi.
3. Iniezione di codice Lua: poiché i file di sessione vengono archiviati come script Lua, l’iniezione di codice Lua dopo il byte NULL nel nome utente (ad esempio, anonymous%00]]%0dlocal+h+%3d+io.popen("id")%0dlocal+r+%3d+h%3aread("*a")%0dh%3aclose()%0dprint(r)%0d--) fa sì che questo codice dannoso venga scritto direttamente nel file di sessione.
4. Esecuzione del file di sessione: la funzione SessionModule.load(), invocata quando si accede a una funzionalità autenticata (come /dir.html), esegue direttamente il file di sessione utilizzando loadfile(filepath) seguito da f(). Questo passaggio cruciale attiva il codice Lua iniettato, portando all’esecuzione di codice remoto (RCE).

Il gruppo Hackerhood/pwned ha replicato in laboratorio la stessa tecnica, creando una dimostrazione visiva dell’attacco, e l’ha resa pubblica in rete. Nel video si apprezza in modo chiaro l’iniezione Lua, il download del payload, e l’esecuzione che apre una shell con privilegi elevati. «Ecco come un attaccante non autenticato può, in pochi secondi, ottenere pieno controllo di un server Wing FTP.»

Misure urgenti suggerite alle organizzazioni:

Azione	Dettaglio
Aggiornamento immediato	Installare la versione 7.4.4 di Wing FTP Server (disponibile da 14 maggio 2025)
Disabilitare accesso anonimo	Evitare l’accesso via FTP anonimo, soprattutto su HTTP/HTTPS
Monitoraggio attivo	Controllare file in session/*.lua e log in Domains/*/*.log per tracce di iniezioni Luā
Regole network	Limitare l’accesso HTTP/HTTPS solo ai client autorizzati
Sistemisti	Abilitare antivirus/EDR come Microsoft Defender e soluzioni di rilevamento anomalie

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks