CVE-2025-52021 — PuneethReddyHC / Online Shopping System Advanced (v1.0) における時間ベースのブラインドSQLインジェクション

CVE: CVE-2025-52021
タイトル: edit_product.php の product_id パラメータを介した時間ベースのブラインドSQLインジェクション
ベンダー / リポジトリ: PuneethReddyHC — https://github.com/PuneethReddyHC/online-shopping-system-advanced
影響を受けるバージョン: 1.0（テスト時点のブランチ/タグ master）
発見者: Hafiz Pradana Gemilang
開示状況: ベンダーに非公開で通知済み。ユーザーの安全のため、完全なエクスプロイトPoCは公開開示から除外されています。

概要

Online Shopping System Advanced v1.0 の admin/admin/edit_product.php に、時間ベースのブラインドSQLインジェクションの脆弱性が発見されました。product_id GETパラメータは、適切な検証やパラメータ化なしにSQLクエリに挿入されます。攻撃者は時間遅延関数（例: SLEEP）を注入してサーバーの応答遅延を観察し、データベースの動作を推測することで、リモートSQLインジェクション箇所を確認できます。

注: このアドバイザリには、実行可能なエクスプロイトペイロードは意図的に含まれていません。概念実証の詳細は、修正を可能にするためにメンテナーに非公開で共有されています。

影響を受けるエンドポイント（例）

/admin/admin/edit_product.php?product_id=<値>

ローカルテスト用URLの例:

http://<ホスト>/online-shopping-system-advanced-master/admin/admin/edit_product.php?product_id=0

脆弱性の詳細

タイプ: SQLインジェクション（時間ベースのブラインド）
パラメータ: product_id（GET）
場所: admin/admin/edit_product.php
攻撃ベクトル: リモート（細工されたURL）; 管理者エンドポイントが公開アクセス可能または攻撃者が到達可能な場合、認証は不要です。
前提条件: エンドポイントが product_id パラメータを受け入れ、それをパラメータ化なしでSQLステートメントに含める必要があります。

証拠（タイミングテストの概要）

データベースの SLEEP() セマンティクスを使用したタイミングベースの注入試行により、注入成功と一致する測定可能なサーバー側の遅延が発生しました:

SLEEP(6) → 観測された応答遅延 ≈ 6.01秒
SLEEP(15) → 観測された応答遅延 ≈ 15.00秒
SLEEP(0) → ベースライン応答遅延 ≈ 0.01秒

これらの結果は、時間ベースの推測を可能にするブラインドSQLインジェクション箇所を示しています。テスト中に観測されたデータベース名: onlineshop。

影響

この脆弱性の悪用に成功すると、攻撃者は以下を行うことができます:

ブラインド/時間ベースの手法によるデータベースコンテンツの確認と列挙。
時間ベースの手法を使用した自動化ツール（例: sqlmap）によるデータ（スキーマ、テーブル名、行）の外部への持ち出し。
データベースの権限とアプリケーションのコンテキストに応じて、さらなる侵害へのエスカレーションの可能性。

推定深刻度: 高

再現（概要レベル）

時間遅延SQL構造を含む細工されたリクエストを product_id パラメータに送信します（テストは SLEEP() のバリエーションで実施）。
サーバーの応答時間を観察し、注入された式が実行されたかどうかを推測します。
異なるペイロードでの繰り返しテストにより、時間ベースの手法による自動抽出が可能になります。

完全なステップバイステップのPoCは公開アドバイザリから省略されています — 責任ある開示条件に基づく暗号化PoCについては、報告者に連絡してください。

推奨される修正策

すべてのデータベースアクセスにパラメータ化クエリ / プリペアドステートメントを使用してください。ユーザー入力をSQL文字列に連結しないでください。
- 例（PHP + PDO）:
```
$stmt = $pdo->prepare('SELECT * FROM products WHERE id = ?');
$stmt->execute([$product_id]);
```
入力を検証およびサニタイズしてください: product_id を整数として扱い、それに応じて検証します（例: filter_input(INPUT_GET, 'product_id', FILTER_VALIDATE_INT)）。
最小権限: Webアプリケーションが使用するデータベースユーザーには最小限の権限を付与してください（DROP、ALTER、GRANT、または管理者権限を避ける）。
エラー処理: データベースエラーをクライアントに漏らさないでください。一般的なエラーメッセージを使用し、詳細なエラーはサーバー側でログに記録してください。
WAF / レート制限: 一時的な緩和策として、一般的なSQLiパターンを検出するWAFルールを実装し、大量抽出試行を遅らせるためのレート制限を適用してください。
関連エンドポイントの監査: 他の管理者エンドポイントとパラメータに同様のインジェクションパターンがないか確認してください。

推奨されるsqlmapコマンド

(ベンダー/メンテナーの利便性のために含まれています — PoCペイロードを公開しないでください)

sqlmap -u "http://<ホスト>/online-shopping-system-advanced-master/admin/admin/edit_product.php?product_id=0" --dbms=mysql --batch --level=5 --risk=3 --technique=T --time-sec=6

参考情報

OWASP SQLインジェクション: https://owasp.org/www-community/attacks/SQL_Injection

連絡先 / クレジット

発見者: Hafiz Pradana Gemilang

メール: [email protected]
GitHub: https://github.com/hafizgemilang/CVE-2025-52021

ベンダー / リポジトリ: https://github.com/PuneethReddyHC/online-shopping-system-advanced

免責事項: この公開アドバイザリは、ユーザーを保護するために悪用可能なペイロードを省略しています。完全な技術詳細とPoCは、合意された責任ある開示ポリシーの下で、リクエストに応じてベンダーに提供されます。