VariaType

Executive summary — VariaType is a Medium Linux box with a typography theme. Fuzzing the main site reveals a reference to /tools/variable-font-generator and an internal subdomain (portal.variatype.htb) that exposes its .git, leaking source code and a gitbot credential that turns out to be an application user, not a system one (a red herring). The foothold is CVE-2025-66034 in fontTools: the portal's variable-font generator processes a malicious .designspace alongside the master fonts, writes a PHP webshell, and gives us a reverse shell as www-data. The pivot to the real user steve reuses the same pattern with a ZIP whose internal filename contains a command injection disguised as a .ttf font. The final escalation abuses a sudo entry over a Python installer that writes a downloaded URL to a path derived from that same URL without sanitising it — with URL-encoded path traversal we overwrite root's authorized_keys.

Resumen ejecutivo — VariaType es un Medium de Linux con temática tipográfica. Fuzzeando la web principal aparece una referencia a /tools/variable-font-generator y un subdominio interno (portal.variatype.htb) que expone su .git, filtrando código fuente y una credencial gitbot que resulta ser un usuario de la aplicación, no del sistema (pista falsa). El foothold es CVE-2025-66034 en fontTools: el generador de variable fonts del portal procesa un .designspace malicioso junto a las fuentes maestras, escribe una webshell PHP y nos da una reverse shell como www-data. El pivote al usuario real steve reutiliza el mismo patrón con un ZIP cuyo nombre de fichero interno contiene una inyección de comandos disfrazada de fuente .ttf. La escalada final abusa de un sudo sobre un instalador Python que escribe una URL descargada en una ruta derivada de esa misma URL sin sanear — con path traversal URL-encoded sobrescribimos el authorized_keys de root.