CVE-2025-47812

Wing FTP Server エクスプロイト (CVE-2025-47812) の Proof of Concept (PoC) です。

説明

Wing FTP Server 7.4.4 より前のバージョンは、ユーザー名パラメータの安全でない処理が原因で、リモートコード実行 (RCE) の脆弱性の影響を受けていました。/loginok.html ページへのログインが許可されている場合、RCE を実現するために、ヌルバイト %00 に続けて Lua コードを注入できます。

インシデントの背景

loginok.html ページに POST リクエストを送信すると、c_CheckUser() 関数 (ユーザー名とパスワードの正当性を検証する関数) が strlen() を使用します。問題は、この関数がヌルバイトによる切り詰めに対して脆弱であることです。 つまり、ユーザー名の後に %00 を送信すると、c_CheckUser() はヌルバイトより前の文字列部分のみを検証します: "anonymous%00........." --> "anonymous"。

その後、アプリケーションは SESSION 変数を作成し、それをファイルに書き込みます。しかし、このファイルにはユーザー名だけでなく、ヌルバイトとそれに続くコードを含む文字列全体が含まれます。 このファイルは Lua ファイルであるため、Lua コードを注入することで RCE が発生します。

悪用方法

anonymous ログインが許可されているとします。この構造の POST リクエストを送信すると: username=anonymous%00]]%0dlocal+h+%3d+io.popen("whoami")%0dlocal+r+%3d+h%3aread(\"*a\")%0dh%3aclose()%0dprint(r)%0d--&password=&username_val=anonymous&password_val= 、ヌルバイトの後に Lua コードを使用して whoami コマンドを注入したことになります。これが完了したら、レスポンスの UID をコピーし、GET リクエスト を同じ UID を使用して任意の認証済みページ (たとえば dir.html ページ) に送信する必要があります。

CVE-2025-47812.py スクリプトがこの処理を代わりに実行してくれます。