フルチェーン脆弱性テストベッド: Nginx RCE → GhostLock LPE

概要

このリポジトリは、完全な2段階の攻撃チェーンを実演するために設計されたVagrant環境を提供します。このテストベッドは、以下のCVEに対して意図的に脆弱になるよう構成された、隔離されたUbuntu 22.04 LTS仮想マシンを自動的にプロビジョニングします。

1. 初期アクセス: CVE-2026-42533 — リモートコード実行（RCE）につながる、Nginx PCREのcapture-clobbering（キャプチャ破壊）脆弱性。
2. 特権昇格: CVE-2026-43449 (GhostLock) — 非特権ユーザーがroot権限を取得できるようにする、Linuxカーネルのローカル特権昇格（LPE）脆弱性。

この環境は、隔離されたラボ内でのエクスプロイト開発、自動化されたペネトレーションテスト、セキュリティ研究、および教育目的での使用を意図しています。

技術的詳細

環境アーキテクチャ

プロビジョニングスクリプトは、リモートコード実行とそれに続くローカル特権昇格から構成される完全な攻撃チェーンをサポートするようにマシンを構成します。

ステージ1 — Nginx初期アクセス（CVE-2026-42533）

プロビジョニングプロセスは、以下に脆弱なNginxサーバーを構成します：

/etc/nginx/sites-available/default

この構成は、VALUEパス中にNginxにPCREのmapディレクティブを評価させることで、意図的に脆弱なコードパスをトリガーします。これにより共有されたr->captures状態が破壊され、www-dataユーザーとしてコード実行を取得するために悪用できるヒープバッファオーバーフローが発生します。

ステージ2 — GhostLock特権昇格（CVE-2026-43449）

GhostLockに必要な脆弱なカーネルを維持するために、プロビジョニングプロセスは以下を行います：

• unattended-upgradesサービスを無効化します。
• 自動カーネルアップグレードを防止します。
• インストール済みカーネルパッケージをapt-mark holdで固定します。

これにより、特権昇格の研究のためにVMが再現可能な脆弱な状態に保たれます。

Nginxの脆弱性を通じて初期足場を獲得した後、研究者はGhostLockエクスプロイトを実行してrootへ権限を昇格できます。

使用方法

以下のコマンドで環境を起動します：

vagrant up

プロビジョニングが完了すると、ターゲットマシンは以下のアドレスで利用可能になります：

192.168.56.10

攻撃ワークフロー

想定される評価ワークフローは以下のとおりです：

1. 脆弱なNginxサービスをエクスプロイトしてリモートコード実行を取得します。
2. www-dataユーザーとして初期シェルを獲得します。
3. GhostLockローカル特権昇格エクスプロイトを実行します。
4. ターゲットシステム上でroot権限を取得します。

想定される用途

このテストベッドは以下の用途を想定しています：

• AI支援ペネトレーションテストのベンチマーク
• 自動化されたエクスプロイト検証
• ローカル特権昇格の研究
• レッドチームトレーニング
• セキュリティ教育
• Capture-the-Flag（CTF）およびHTB形式の演習

警告: この環境には意図的に脆弱なソフトウェアが含まれており、自動セキュリティアップデートが無効化されています。隔離されたラボまたは仮想化環境内でのみデプロイおよび使用してください。