LAquis SCADA 任意ファイル書き込み

👨‍💻 著者

Mohammed Idrees Banyamer

🐦 Instagram: @banyamer_security

CVE-2021-41579 の Proof-of-Concept エクスプロイト - LCDS LAquis SCADA ≤ 4.3.1.1085 における悪意のある .els プロジェクトファイルを介した任意ファイル書き込み。

🚨 脆弱性の説明

CVE-2021-41579 は、LCDS LAquis SCADA バージョン ≤ 4.3.1.1085 におけるクライアント側の脆弱性です。

攻撃者は、パストラバーサルシーケンス（..\..\..\）を含む悪意のある .els プロジェクトファイルを作成できます。被害者がファイルを開いて 「Play」（ランタイム/シミュレーションモード）をクリックすると、LAquis はすべてのセキュリティ/同意プロンプトをバイパスし、サニタイズなしでトラバーサルされたパスを解決します。

これにより、以下が可能になります：

任意のファイル書き込み：現在のユーザーが書き込み可能な場所へ
任意のファイル読み取り：システム/プロジェクトファイル
リモートコード実行（スタートアップフォルダの永続化または悪意のある DLL を介して）

🎯 影響を受けるバージョン

ステータス	バージョン
❌ 脆弱	LAquis SCADA ≤ 4.3.1.1085
✅ パッチ適用済み	LAquis SCADA ≥ 4.3.2.1086

テスト環境: Windows 10 x64、Windows 11 x64

💥 影響

ベクター	説明
CVSS v3	7.8 (高) - AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
ファイル書き込み	スタートアップにファイルを配置 → 次回起動時に RCE

🔬 技術的詳細

根本原因

クライアント側の検証のみ - ファイルを開くときにパスがチェックされますが、実行中には再検証されません
Play モードのバイパス - 「Play」をクリックすると、プロジェクトがすでに信頼されていると見なされます
パス正規化なし - ..\..\ シーケンスがファイルシステム API に直接渡されます
広範なパスフィールド - 画像、スクリプト、ログ、エクスポートはすべて書き込み可能なパス文字列を使用します

脆弱性のフロー

graph LR
    A[Attacker crafts malicious .els] --> B[Victim opens file]
    B --> C[Clicks 'Play' button]
    C --> D[LAquis resolves path at runtime]
    D --> E[No re-validation]
    E --> F[Path traversal triggered]
    F --> G[File written/read at target location]

🛠️ 使用方法

git clone https://github.com/mbanyamer/CVE-2021-41579.git
cd CVE-2021-41579
pip install -r requirements.txt  # if applicable

CVE-2021-41579-LCDS-LAquis-SCADA-4.3.1.1085-Arbitrary-File-Write

人気