CVE-2025-3568

悪意のあるSVGファイルによる権限昇格

概要

Krayin CRM 2.1.0 において、低権限ユーザーが管理者に悪意のあるSVGファイルを開かせることで権限を昇格できるセキュリティ脆弱性が確認されました。このエクスプロイトは、SVGを介したクロスサイトリクエストフォージェリ (CSRF) とクロスサイトスクリプティング (XSS) を悪用し、以下のことを行います：

• クッキーから管理者の XSRF トークン を盗み取る。
• 保護されていないAPIエンドポイント を介して、現在のパスワードを知らずに管理者のパスワードを変更する。

これにより、完全な管理者アカウントの乗っ取り や データ漏洩 につながる可能性があります。

---

技術的詳細

脆弱性の種類

• CSRF + XSS（SVGファイルアップロード経由） （保存型クライアントサイド攻撃）
• アクセス制御の不備 （現在のパスワードなしでのパスワード変更）

影響を受けるコンポーネント

• ユーザー管理モジュール (/admin/settings/users/edit/[ID])
• ファイルアップロード/メール添付処理 （JavaScriptが埋め込まれたSVG）

攻撃フロー

1. 攻撃者（低権限ユーザー） が管理者に悪意のあるSVGファイルを添付したメールを送信する。
2. 管理者がSVGファイルを新しいタブで開く。
3. SVG内のJavaScriptが実行され、管理者の XSRF-TOKEN クッキーを収奪する。
4. CRMのユーザー管理エンドポイントに対して偽装されたPOSTリクエストが送信され、管理者のパスワードが変更される。
5. 攻撃者は新しいパスワードを使用して完全な管理者アクセスを取得する。

---

概念実証 (PoC)

• エクスプロイトの動作を収録したスクリーンレコーディング：

  https://github.com/user-attachments/assets/36f5f5ec-d7f1-4ea8-aa78-f1be396e13d3

• 悪意のあるSVGファイル： svgxss.svg

---

影響

• 完全な管理者アカウント乗っ取り： 攻撃者は管理者のパスワードをリセットしてログインできる。
• データ漏洩： 機密のCRMデータ（顧客情報、取引履歴など）へのアクセス。
• 持続性： 攻撃者はバックドアアカウントを作成したり、システム設定を変更したりできる。

---

根本原因分析

SVGサニタイズの欠如

• CRMはJavaScriptが埋め込まれたSVGファイルを許可しているため、XSSが可能になっている。

パスワード変更ロジックの不備

• /admin/settings/users/edit エンドポイントは現在のパスワードの検証を強制していない。

---

まとめ

本脆弱性はCRMのセキュリティに重大なリスクをもたらし、攻撃者が最小限の労力で管理者アカウントを乗っ取ることを可能にします。問題を修正し、悪用を防ぐための即時対応が必要です。

---

参考文献

• https://nvd.nist.gov/vuln/detail/CVE-2025-3568
• https://vuldb.com/?id.304609