👤 著者

Mohammed Idrees Banyamer セキュリティリサーチャー

📌 概要

このリポジトリには、FUXA（オープンソースのSCADA/ICSソフトウェア）における重大な認可バイパス脆弱性であるCVE-2026-25939の概念実証（PoC）エクスプロイトが含まれています。この脆弱性により、認証されていないリモート攻撃者が任意のスケジューラーエントリを作成、変更、削除でき、リモートコード実行や産業用制御システムの操作につながる可能性があります。

🔥 脆弱性の詳細

CVE ID: CVE-2026-25939
CVSSスコア: 9.1（Critical）- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
影響を受けるバージョン: FUXA >= 1.2.8、< 1.2.11
修正済みバージョン: FUXA v1.2.11+
脆弱性の種類: 認可バイパス
攻撃ベクトル: リモート、認証不要

🎯 技術的説明

根本原因

この脆弱性は/api/schedulerエンドポイントに存在し、POSTおよびDELETEハンドラーの両方でゲストユーザー認証チェックが欠落していました。v1.2.11のパッチでは、明示的なauthJwt.isGuestUser()検証が追加されました。

影響を受けるエンドポイント

POST /api/scheduler - スケジューラーの作成/変更
DELETE /api/scheduler - スケジューラーの削除

影響

✅ 任意のスクリプトを使用した悪意のあるスケジューラーの作成
✅ 既存の産業用制御スケジュールの変更
✅ 重要なシステムスケジューラーの削除
✅ スケジューラースクリプト実行によるRCEの可能性
✅ SCADA/ICS運用の妨害

📋 使用例

例1：脆弱性評価

脆弱なFUXAバージョンを実行

docker run -p 1881:1881 -d fuxa:v1.2.10

$ python CVE-2026-25939.py http://192.168.1.100:1881 --check
[*] http://192.168.1.100:1881 の脆弱性ステータスを確認中
[*] スケジューラーAPIへのゲストアクセスをテスト中...
[*] GETレスポンスステータス: 200
[*] スケジューラー作成をテスト中...
[*] POSTレスポンスステータス: 200
[!] 脆弱性あり: ターゲットは認証なしのスケジューラー作成を受け入れます
[!] これはバージョン < 1.2.11 を示しています

CVE-2026-25939-SCADA-FUXA-Unauthenticated-Remote-Arbitrary

人気