Grassmarlin-CVE-2026-6807-XXE-POC

これは、2026年4月28日に公開されたGrassmarlinの報告済み脆弱性に関するCISAの開示に基づく、機能する概念実証コードです。

Grassmarlinのコードを調査したところ、保存済みセッションを開く際に取り込まれるXMLファイルに関係するパラメータが脆弱性の原因である可能性が高いと判断しました。悪意のあるリクエストを細工することで、Grassmarlin内のメッセージコンソールにエラーを誘発できることを発見しました。エラーの原因と内容は、Grassmarlin内のすべてのログと出力から適切に除去されていました。

ただし、DTD内で外部ホストを参照することで、任意のファイルをOOB（帯域外）で外部送信することが可能でした。いくつかの注意点があるようでした。システム上では新しいバージョンのJavaを使用できず、Grassmarlinはインストーラーに同梱されたバージョンのJavaを使用しなければなりませんでした。さらに、多くの種類の入力がエラーを引き起こし、外部送信プロセスを妨げる可能性がありました。これを回避するため、コンテンツはbase64に変換され、複数のメッセージチャンクに分けて送信されました。

お楽しみください！