horizon3ai/cve-2022-47966CVE-2022-47966 の概念実証エクスプロイト。SAML レスポンスの操作による、複数の ManageEngine 製品における認証前リモートコード実行の脆弱性です。
CVE-2022-47966に影響を受ける以下のManageEngine製品向けのPOC：
この特定のPOCは、Apache Santuario（xmlsec）<= 1.4.1を利用する製品でのみ動作します。例：
他の製品では、SAMLレスポンスに対して追加のチェックが行われる場合があります。追加のチェックを行う製品でこのPOCを動作させるには、以下が必要です：
この脆弱性の技術的な根本原因分析は、当社のブログで公開しています： https://www.horizon3.ai/manageengine-cve-2022-47966-technical-deep-dive
Viettel SecurityのKhoadha氏は、この脆弱性に関する彼のオリジナル研究と、xmlsecの多くのバージョンにわたってどのように悪用され得るかを文書化しています： https://blog.viettelcybersecurity.com/saml-show-stopper/
侵害の指標についてManageEngineログを分析するには、当社のIOCブログをご覧ください： https://www.horizon3.ai/manageengine-cve-2022-47966-iocs/
このPOCは、事前認証リモートコード実行の脆弱性を悪用して、JavaのRuntime.execメソッドでコマンドを実行します。
ADManagerなどのActive Directory関連製品では、issuer引数が必要です：
root@kali:~# python3 ./CVE-2022-47966.py --url https://10.0.40.90:8443/samlLogin/<guid> --issuer https://sts.windows.net/<guid>/ --command notepad.exe
その他の製品では、URLのみが必要です：
root@kali:~# python3 ./CVE-2022-47966.py --url https://10.0.40.64:8080/SamlResponseServlet --command notepad.exe
影響を受ける製品を最新バージョンに更新してください。
このソフトウェアは、学術研究と効果的な防御技術の開発のみを目的として作成されており、明示的に許可された場合を除き、システムへの攻撃に使用することを意図したものではありません。プロジェクト保守者は、ソフトウェアの誤用について一切の責任を負いません。責任を持って使用してください。