cryptomachio/cve-2025-5548
脆弱性 CVE-2025-5548 の技術的調査
本稿では、FreeFloat FTP Server v1.0 に存在するスタックバッファオーバーフローに関連する脆弱性 CVE-2025-5548 を分析する。このラボの主な目的は、脆弱なアプリケーションが操作された入力に対してどのように動作するかを理解し、管理された環境において、検証の欠落がプログラムの実行フローにどのように影響を及ぼすかを観察することである。
このリポジトリの開発は最終結果を示すだけにとどまらず、環境の準備、ツールの選定、障害の観察、メモリ分析、脆弱性の実際の影響の検証といった調査プロセス全体をまとめたものである。
この作業は、2つの異なるブロックに分けられている。
このセクションでは、実習環境をどのように構築したか、どのオペレーティングシステムを使用したか、どのアプリケーションが脆弱であるか、分析を実行するためにどのツールが必要と考えられたかを説明する。
2番目の部分は実践的な側面に焦点を当てている。ここでは、障害を検出し、メモリ破壊を確認し、レジスタの上書きを調査し、脆弱性がどのように悪用され得るかを検証するためにたどったプロセスを説明する。
この実習は、Windows 11 Pro 25H2 (Build 26200.6584) を搭載した仮想マシン上で実施した。選択した脆弱なソフトウェアは FreeFloat FTP Server v1.0 であり、現在のプログラムに一般的な保護機能の多くを欠いているため、この種の演習に適した古いアプリケーションである。
仮想マシンのネットワークは NAT モードで構成し、依存関係のインストール、ツールのダウンロード、ラボの基本的な接続性の維持のためにインターネットへのアクセスを可能にした。
分析の全フェーズをカバーするには、いくつかのユーティリティに頼る必要があった。環境の準備に使用したものもあれば、バイナリの調査に使用したもの、障害発生時のプロセスの動作を観察するために使用したものもある。
リポジトリのダウンロード、特定のリソースの整理、調査中に使用した資料の管理を容易にするために使用した。
接続性の確認、公開されているサービスの特定、ターゲットが期待されるポートで正しく応答しているかの確認を支援するために使用した。
Windows システム内での低レベルなデバッグおよび分析タスクに役立つライブラリ、ヘッダー、ツールを用意するためにインストールした。
クイック編集、スクリプトのレビュー、テスト用の文字列やデータの簡単な操作に使用した。
スクリプトの作成、自動化のテスト、コードをより整理された形で扱うための快適な環境として機能した。
特に、より長いスクリプトのレビューや、ペイロードの構築に関連するロジックのデバッグが必要な場合に役立った。
2つのバージョンを検討した:
Ghidra を実行するために必要だった。このツールは Java 上で開発されているためである。
実行中のプログラムの状態を観察し、レジスタを確認し、メモリを調べ、障害が発生する正確なポイントを分析するために使用した。
静的解析フェーズでバイナリを調査し、セキュリティの観点から疑わしい関数を特定するために使用した。
脆弱なプログラムの内部ロジックを逆コンパイルしてより深く理解するための支援として使用した。
このプラグインは、パターンの作成、オフセットの計算、ペイロード内の問題のある文字の特定などのタスクを容易にした。
ラボの主要コンポーネントは FreeFloat FTP Server v1.0 であり、コンセプト実証内のターゲットシステムとして機能する。その価値は、古典的なスタックオーバーフローの脆弱性を組み込んでいる点にあり、教育目的の分析に非常に適したケースとなっている。
この種の演習用に既製の仮想マシンが存在するが、今回は環境を文書化し、使用するツールを正当化することを選択した。これにより、各アプリケーションがラボの一部である理由と、分析中に果たす役割をよりよく理解できる。
最初のステップは、FTP サービスにアクセスでき、正しく機能していることを確認することであった。接続性が確認されたら、静的解析ツールを使用してバイナリを調査し、文字列処理に関連する潜在的な弱点を特定した。
この調査中に strcpy や strcat などの安全でない関数が出現し、サービスが過度に長い入力に対して脆弱である可能性があるという疑念が強まった。また、ユーザーが制御するデータを受け取る可能性のある FTP プロトコルのいくつかのコマンドを調査し、そのうちの1つをテストの主要候補として選択した。
この基盤に基づき、実行中の動作を観察するためにプロセスをデバッガに読み込んだ。
次のフェーズでは、プログラムが正しく応答しなくなるかどうかを確認するために、ますます長い文字列を送信した。この手順により、特定のサイズを超えるとサービスが失敗し、最終的にメモリの改変を引き起こすことを検証できた。
この動作により、これは単なる表面的な検証エラーではなく、プロセスのフローに影響を与える実際の破損であることが確認された。
障害を引き起こした後、リターンアドレスに到達するために必要なバイト数を正確に計算する必要があった。そのために非反復シーケンスを使用し、クラッシュ時に EIP に反映された値を送信した入力内の正確な位置に関連付けることができた。
この手順により、制御レジスタを上書きするために必要な具体的なオフセットが得られた。
オフセットが判明した時点で、リターンアドレスを簡単に認識できる値に置き換えた新しいテストを準備した。目的は、プログラムが EIP を制御された方法で変更できるかどうかを確認することであった。
テストは成功した。デバッガは、レジスタが正確に導入した値を含んでいることを示したからである。これにより、実行フローを変更し、選択したアドレスにリダイレクトできることが実証された。
その時点に達した後、どのバイトがペイロードに干渉し得るかを分析した。この種の脆弱性では、特定の文字が文字列の切り詰め、予期しない変更、または早期終了を引き起こすことが一般的である。
メモリ内の連続的な比較により、いくつかの bad characters が特定された。その中には以下のものがある:
\x00\x0a\x0dこれらを検出することは、脆弱なプログラムの動作と互換性のある安定した最終ペイロードを構築するために重要であった。
次のステップは、実行をペイロードが配置されるメモリ領域にリダイレクトできる適切なアドレスを見つけることであった。この分析は、オペレーティングシステムと有効な保護を考慮して実行する必要があった。一部のアドレスは実行間で安定しないためである。
ラボ内で、フローの上書きを攻撃者が制御する入力に結び付けることを可能にする有効な参照が特定された。
フローの制御が検証されたので、以前に発見した制約と互換性のある shellcode を構築した。さらに、期待される位置にわずかなずれがある場合でも CPU がペイロードの先頭に安全に到達できるように、中立命令の事前ゾーンを追加した。
このステップは、実行の信頼性を高めるために重要であった。
最後のフェーズでは、攻撃マシン上でリスナーを待機させながら、脆弱なサービスに対して完全なペイロードを送信した。結果として、ターゲットシステムへのリモート接続が確立され、この脆弱性がプログラムのクラッシュを引き起こすだけでなく、制御された実行を取得することも可能にすることを確認した。
これは障害の実際の影響を実証し、攻撃的および防御的なセキュリティの観点からその重要性を正当化する。
CVE-2025-5548 の調査は、最新の保護メカニズムを持たない古いアプリケーションが、メモリ破壊に基づく古典的な悪用手法に対して脆弱であり得ることを明確に示している。
ラボを通じて、環境の準備、障害の初期観察、オーバーフローの検証、実行レジスタの制御、ペイロードのデバッグ、最終結果の確認といういくつかの基本的な段階をたどった。
技術的なテストを超えて、このケースは、安全でない関数の使用と保護措置の欠如が、レガシーソフトウェアにおいて依然として重要なリスクである理由を理解するのに役立つ。このため、この種の演習は、管理された環境でのリバースエンジニアリング、脆弱性分析、および悪用の知識を強化するのに特に有用である。