DevArea

Executive summary — DevArea chains four separate services, each opening the door to the next. A Java .jar pulled over anonymous FTP turns out to be a SOAP service vulnerable to CVE-2022-46364 (Apache CXF), giving unauthenticated arbitrary file read. That leaks Hoverfly credentials, whose "middleware" system runs a local command for every request passing through its proxy — trivial RCE once inside. The final escalation is subtler: an internal Flask GUI whose session is forged with a leaked SECRET_KEY, vulnerable to command injection, which ultimately abuses a symlink chain to bypass a sudo-enabled script's anti-symlink filter.

Hoverfly's v2 API requires authentication → credentials are needed, presumably from the downloaded .jar or some other file on the system.

Resumen ejecutivo — DevArea encadena cuatro servicios distintos, cada uno abriendo la puerta al siguiente. Un .jar Java descargado por FTP anónimo resulta ser un servicio SOAP vulnerable a CVE-2022-46364 (Apache CXF), que da lectura arbitraria de ficheros sin autenticación. Con eso se filtran las credenciales de Hoverfly, cuyo sistema de «middleware» permite ejecutar comandos locales por cada petición que pasa por su proxy — RCE trivial una vez dentro. La escalada final es más sutil: una GUI Flask interna cuya sesión se forja con una SECRET_KEY filtrada, vulnerable a inyección de comandos, que finalmente abusa de una cadena de symlinks para saltarse el filtro anti-symlink de un script con sudo.

La API v2 de Hoverfly exige autenticación → hacen falta credenciales, que en principio tendrán que llegar del .jar descargado o de algún otro fichero del sistema.