PoC: CVE-2025-2304 - Camaleon CMS 権限昇格

技術概要

このリポジトリは、Camaleon CMS（バージョン2.8.1より前）におけるMass Assignment脆弱性の機能的Proof of Concept（PoC）です。この脆弱性は、ユーザ管理モジュールのupdated_ajaxエンドポイントに存在し、アプリケーションがpasswordパラメータハッシュ内の機密属性を厳密にフィルタリングしないことに起因します。

プロフィール更新時にpasswordスコープ内にrole属性を注入することで、低権限ユーザが自身の権限を上書きしてadminステータスを取得できます。

脆弱性の仕組み

この脆弱性は、Ruby on RailsコントローラにおけるStrong Parametersの設定ミスに起因します。アプリケーションがAJAX更新リクエストを処理する際、roleキーがユーザオブジェクトの属性に不適切にマージされます。

• 脆弱なエンドポイント: /admin/users/:id/updated_ajax
• 脆弱なパラメータスコープ: password[...]
• 注入ベクトル: password[role]=admin

技術的特徴

• セッション維持: requests.Sessionを利用して認証から悪用フェーズまで状態を保持します。
• 自動CSRF同期: DOMからauthenticity_tokenを抽出し、X-CSRF-Tokenヘッダと同期させて、RailsのAJAXセキュリティ要件を満たします。
• 動的ID検出: /admin/profile/editページを解析し、RESTfulエンドポイントに必要なuser[id]を動的に解決します。
• HTTPメソッドエミュレーション: _method=patchオーバーライドを実装し、POSTを介したリソース更新に対するアプリケーションのルーティング要件を満たします。

要件

• Python 3.10+
• requests
• beautifulsoup4

依存関係をインストール:

pip install -r requirements.txt

使用方法

python3 main.py -u <target_url> --user <username> --password <password>

エクスプロイト実行フロー

1. 認証 (POST /admin/login): user[username]を使用して認証済みセッションを確立します。
2. 偵察 (GET /admin/profile/edit): 一意のuser[id]と新しいauthenticity_tokenを抽出します。
3. 権限昇格 (PATCH-over-POST /admin/users/:id/updated_ajax): 注入ペイロードを送信します。

ペイロード仕様

エクスプロイトは、application/x-www-form-urlencoded形式のペイロードを以下の構造で使用します:

倫理的開示

このツールは教育目的および許可されたペネトレーションテスト専用です。本番システムへの不正アクセスは違法です。