CVE-2025-46157

CVE-2025-46157 – Timetrax V1 (2025) リモートコード実行および権限昇格

概要

Timetrax V1 (2025) に重大な脆弱性が発見されました。この脆弱性により、認証済みユーザーがファイルアップロード制限を回避し、リモートコード実行（RCE） を達成できます。この問題は 勤怠（Attendance）モジュールの休暇申請（Leave Request）フォーム に存在し、サーバーサイドの検証が不十分なため、改変されたリクエストを介して悪意のある .asp ウェブシェルがアップロードされる可能性があります。

さらに、SeImpersonatePrivilege を悪用した EfsPotato テクニックにより、SYSTEM への権限昇格 が可能になります。

---

脆弱性の詳細

✅ リモートコード実行（RCE）

• コンポーネント: 勤怠（Attendance）モジュールの休暇申請（Leave Request）フォーム
• 原因: 安全でないサーバーサイドのファイル検証
• 攻撃ベクトル: アップロードリクエストを改変して .txt を .asp に変更
• 影響: サーバー上での完全なコマンド実行

✅ 権限昇格

• 手法: EfsPotato
• 権限の悪用: SeImpersonatePrivilege
• 結果: SYSTEM レベルのアクセス
• AV 回避: 難読化されたペイロードを使用して達成

---

CVSS v3.1 スコア

基本スコア: 9.9（Critical）
ベクター文字列: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

---

概念実証（PoC）

1. リモートコード実行

1. 有効なユーザー資格情報を使用して Timetrax にログインします。
2. 勤怠（Attendance）モジュールの 休暇申請（Leave Request）フォーム に移動します。
3. .txt ファイルをアップロードし、Burp Suite を使用して HTTP リクエストを傍受します。
4. リクエスト内のファイル拡張子を .txt から .asp に変更します。
5. リクエストを転送します。サーバーはアップロードされたファイルへの URL を返します。
6. URL にアクセスして悪意のあるウェブシェルを起動します。

2. 権限昇格

• EfsPotato エクスプロイトを使用して SeImpersonatePrivilege を悪用します。
• AV 検出を回避するためにバイナリまたはペイロードを難読化します。
• SYSTEM レベルのシェルを取得し、証明として新しい Administrator アカウントを作成します。

---

影響を受けるバージョン

• Timetrax V1 (2025)

---

対策

• 強力なパスワードポリシーを適用し、MFA を有効にする
• サーバー上でアップロードされたファイルを適切に検証およびサニタイズする
• SeImpersonatePrivilege を必要なアカウントのみに制限する
• EfsPotato 対策として OS パッチを適用する
• 不要な場合は EFS を無効にする

---

開示情報

• 発見者: Noman Azam
• メール: [email protected]
• CVE ID: CVE-2025-46157

---

参考情報

• EfsPotato エクスプロイト

---

このリポジトリは、責任ある開示および教育目的のみで提供されています。常に倫理的ガイドラインと協調的な開示ポリシーに従ってください。