CVE-2025-0133

Palo Alto PAN-OSのGlobalProtectゲートウェイおよびポータルのgetconfig.espハンドラにおける反射型XSS。userクエリパラメータがエンコードされずにCaptive Portalページに反映されます。認証されたGlobalProtectユーザーを細工されたリンクに誘導する攻撃者は、企業VPNポータルの信頼コンテキストでJavaScriptを実行でき、フィッシングキャンペーンをはるかに効果的にします。

2025年5月に開示。PAN-SA-2025-0005で修正。発見者はXBOW、Anthropicの自律型バグハンティングエージェント。このツールキットは、元々CVE-2020-3580用に構築された検証パイプラインの移植版です — 同じアーキテクチャ、異なるエンドポイント、異なるパラメータ、5年離れたCVE。

このリポジトリには以下が含まれます:

• xss.html — 人間が検証可能なPoC。TARGET_HOSTを編集してブラウザで開くと、プロンプトが動作するのを確認できます。
• src/ — 発見とスコープ対応の検証パイプライン。
• docs/ — 方法論と倫理。

パイプラインの動作

┌──────────┐   ┌──────────────┐   ┌────────────────┐   ┌──────────────┐
│ Shodan   │ → │ scope match  │ → │ canary check   │ → │ MD report    │
│ (3 dorks)│   │ (H1, BC, +)  │   │ (no JS exec)   │   │ drafts       │
└──────────┘   └──────────────┘   └────────────────┘   └──────────────┘

各ステージは検査可能なJSONアーティファクトを書き出し、独立して実行されます。

バリデータはprompt()を実行しません。userパラメータに一意のカナリア文字列を含めて/ssl-vpn/getconfig.espにGETリクエストを送り、レスポンスボディを評価します。確認されたヒットは、元のxss.htmlを参照したMarkdownドラフトとして出力され、プログラムレビュー担当者が自身のブラウザで検証できるようになります。

セットアップ

git clone https://github.com/cruxN3T/CVE-2025-0133
cd CVE-2025-0133
python3 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
cp creds.env.example creds.env
$EDITOR creds.env   # add your Shodan key, optionally H1/BC tokens

creds.envはgitignoreされています。.gitignoreは*.envに一致するファイル（*.env.exampleを除く）と、data/およびreports/をブロックし、ターゲットリストと検証抜粋を公開リポジトリから除外します。

使用方法

エンドツーエンド:

python -m src.pipeline run

またはステージごと:

python -m src.pipeline discover            # Shodan → data/shodan_hits.json
python -m src.pipeline scope               # match → data/in_scope.json
python -m src.pipeline validate            # canary → data/validation.json
python -m src.pipeline report              # → reports/<host>__CVE-2025-0133.md

scopeステージはAPIキーなしで動作します — arkadiyt/bounty-targets-dataから取得します。creds.envにH1_USERNAME + H1_API_TOKENを追加し、H1_LIVE=true python -m src.pipeline scopeを実行すると、HackerOne Hacker APIからの最新データで補完されます（遅いですが、今日プログラムの概要が変更された疑いがある場合にのみ有用です）。

設定

すべてはcreds.envにあります。完全なリストはcreds.env.exampleを参照してください。知っておく価値のある2つの設定項目:

• SCOPE_PLATFORMS — カンマ区切り。デフォルトはhackerone,bugcrowd。より広いカバレッジが必要な場合はintigritiとyeswehackを追加してください。
• TARGET_RPM — ホストあたりの1分間のリクエスト数。デフォルトは10。理由なくこれを上げないでください。

実行前にこれらをお読みください

• docs/ETHICS.md — スコープマッチが何を許可し、何を許可しないか、そしてバリデータが意図的に行わないことについて。
• docs/METHODOLOGY.md — リフレクション評価の仕組みと各ステージが存在する理由について。

このCVEに関する注意点

• 深刻度は中程度であり、重大ではありません。 これはユーザー操作を必要とする反射型XSSです。CVSS 4.0基本値は5.1、Clientless VPNが有効な場合は最大6.9。プログラムは受け入れますが、RCEクラスよりも低い報酬を期待します。
• サードパーティソフトウェアの除外は現実的な懸念事項です。 多くのプログラムはベンダーの既知の脆弱性（n-day）をスコープから明示的に除外するか、ベンダーのPSIRTにリダイレクトします。スコープマッチ後でも、検証前に各プログラムの概要を読んでください。
• 大量スキャン競争は現実です。 CVE-2025-0133の公開Nucleiテンプレートが存在し、すべてのハンターが2025年6月からスキャンしています。あなたの優位性は、他の人がスキップしたプログラム（小規模なVDP、最近開始されたプログラム、地域プログラム）のカバレッジと、トリアージ担当者が迅速に確認できる適切に提示されたレポートにあります。

このリポジトリがそうでないもの

大量悪用ツールではありません。提出前にプラットフォーム上のプログラム概要を読むことの代替にはなりません。スコープマッチャーは出発点であり、ポリシーテキストが契約です。

ライセンス

MIT。 LICENSEを参照してください。