CVE-2025-47812 脆弱性は、Wing FTP Server がユーザー認証とセッションを管理する方法における複数の弱点に起因する重大な問題です:

1. c_CheckUser() における NULL バイトの切り詰め: ユーザー認証を担当する c_CheckUser() 関数は、内部で提供されたユーザー名に対して strlen() を使用します。ユーザー名に NULL バイト (%00) が注入されると (例: anonymous%00...)、 strlen() はその位置で文字列を切り詰めます。つまり、認証は NULL バイト 前 のユーザー名部分に対して成功し、適切な検証を実質的にバイパスします。
2. セッション作成における完全なユーザー名: 認証の切り詰めにもかかわらず、loginok.html 内の rawset(_SESSION, "username", username) 呼び出しは、GET または POST パラメータから 全体 のサニタイズされていないユーザー名を直接使用します。これには NULL バイトとそれに続くすべての文字が含まれます。
3. Lua コード注入: セッションファイルは Lua スクリプトとして保存されるため、ユーザー名内の NULL バイトの後に Lua コードを注入すると (例: anonymous%00]]%0dlocal+h+%3d+io.popen("id")%0dlocal+r+%3d+h%3aread("*a")%0dh%3aclose()%0dprint(r)%0d--)、この悪意のあるコードがセッションファイルに直接書き込まれます。
4. セッションファイルの実行: 認証された機能 (/dir.html など) にアクセスすると呼び出される SessionModule.load() 関数は、loadfile(filepath) に続いて f() を使用してセッションファイルを直接実行します。この重要なステップにより、注入された Lua コードがトリガーされ、リモートコード実行 につながります。

この脆弱性は、Wing FTP Server がデフォルトで Linux では root 権限、Windows では SYSTEM 権限 で実行されることが多いため、特に深刻です。このデフォルト設定により、悪用に成功した場合、攻撃者は侵害されたシステムに対する最大限の制御を得ることになります。

影響を受けるバージョン: 7.4.4 より前の Wing FTP Server バージョンが脆弱です。

🛠️ 使用方法

このスクリプトは機能を調整するためのさまざまなコマンドライン引数をサポートしています。