CVE-2025-46157
CVE-2025-46157 – Timetrax V1 (2025) リモートコード実行および権限昇格
概要
Timetrax V1 (2025) に重大な脆弱性が発見されました。この脆弱性により、認証済みユーザーがファイルアップロード制限を回避し、リモートコード実行（RCE） を達成できます。この問題は 勤怠（Attendance）モジュールの休暇申請（Leave Request）フォーム に存在し、サーバーサイドの検証が不十分なため、改変されたリクエストを介して悪意のある .asp ウェブシェルがアップロードされる可能性があります。
さらに、SeImpersonatePrivilege を悪用した EfsPotato テクニックにより、SYSTEM への権限昇格 が可能になります。
脆弱性の詳細
✅ リモートコード実行（RCE）
- コンポーネント: 勤怠（Attendance）モジュールの休暇申請（Leave Request）フォーム
- 原因: 安全でないサーバーサイドのファイル検証
- 攻撃ベクトル: アップロードリクエストを改変して
.txt を .asp に変更
- 影響: サーバー上での完全なコマンド実行
✅ 権限昇格
- 手法: EfsPotato
- 権限の悪用:
SeImpersonatePrivilege
- 結果: SYSTEM レベルのアクセス
- AV 回避: 難読化されたペイロードを使用して達成
CVSS v3.1 スコア
基本スコア: 9.9（Critical）
ベクター文字列: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
概念実証（PoC）
1. リモートコード実行
- 有効なユーザー資格情報を使用して Timetrax にログインします。
- 勤怠（Attendance）モジュールの 休暇申請（Leave Request）フォーム に移動します。
.txt ファイルをアップロードし、Burp Suite を使用して HTTP リクエストを傍受します。- リクエスト内のファイル拡張子を
.txt から .asp に変更します。
- リクエストを転送します。サーバーはアップロードされたファイルへの URL を返します。
- URL にアクセスして悪意のあるウェブシェルを起動します。
2. 権限昇格
- EfsPotato エクスプロイトを使用して
SeImpersonatePrivilege を悪用します。
- AV 検出を回避するためにバイナリまたはペイロードを難読化します。
- SYSTEM レベルのシェルを取得し、証明として新しい Administrator アカウントを作成します。
影響を受けるバージョン
対策
- 強力なパスワードポリシーを適用し、MFA を有効にする
- サーバー上でアップロードされたファイルを適切に検証およびサニタイズする
SeImpersonatePrivilege を必要なアカウントのみに制限する- EfsPotato 対策として OS パッチを適用する
- 不要な場合は EFS を無効にする
開示情報
参考情報
このリポジトリは、責任ある開示および教育目的のみで提供されています。常に倫理的ガイドラインと協調的な開示ポリシーに従ってください。
morphine009/cve-2025-46157
