CVE-2025-64512 – pdfminer.six デシリアライゼーション PoC

概要

このプルーフ・オブ・コンセプトは、pdfminer.six（CVE-2025-64512）の脆弱性を実証するもので、悪意のあるPDFが処理されると任意のコマンド実行につながる可能性があります。このエクスプロイトは、悪意のあるgzip圧縮されたPython pickleを参照する細工されたPDFを使用します。脆弱なアプリケーションがPDFを解析すると、pickleを読み込み、埋め込まれたペイロードを実行します。

同梱のPoCはPythonリバースシェルを実行するように構成されていますが、ペイロードは任意のコマンドに置き換えることができます。

要件

Python 3
requests

必要な依存関係をインストールします:

pip install requests

設定

エクスプロイトを実行する前に、exploit.py の設定セクションを編集します:

BASE_URL = ""
UPLOAD_DIR = ""
LHOST = ""
LPORT = 4444

BASE_URL

脆弱なアップロードエンドポイントのURL。

例:

BASE_URL = "http://target/upload.php"

このエクスプロイトは、悪意のあるPDFと圧縮されたpickleの両方をこのエンドポイントにアップロードします。

UPLOAD_DIR

アップロードされたファイルが保存されるターゲット上の絶対ディレクトリ。

例:

UPLOAD_DIR = "/var/www/html/uploads"

このパスは生成されたPDF内に埋め込まれ、脆弱なアプリケーションが後でアップロードされたpickleを読み取る場所と一致している必要があります。

アップロードディレクトリが不明な場合は、列挙中に特定してください。アプリケーションによって異なりますが、有用な手法は次のとおりです:

アプリケーションのソースコードを確認する（利用可能な場合）
エラーメッセージやスタックトレースを調べる
設定ファイルを探す
アップロードされたファイルがどこから配信されているかを特定する
予測可能なアップロード場所を列挙する
適切な場合は、可能性のあるアップロードパスをファジングする

一般的な場所は次のとおりです:

/var/www/html/uploads
/var/www/uploads
/srv/www/uploads
/opt/application/uploads

正しいディレクトリは、ターゲットアプリケーションに完全に依存します。

LHOST

リスナー（待ち受け）のIPアドレス。

例:

LHOST = "10.10.14.5"

LPORT

リバースシェルのリスニングポート。

例:

LPORT = 4444

エクスプロイトを実行する前にリスナーを起動します:

nc -lvnp 4444

使用方法

エクスプロイトを実行します:

python3 exploit.py

スクリプトは次のことを行います:

悪意のあるpickleを生成する。
それを evil.pickle.gz に圧縮する。
そのpickleを参照する悪意のあるPDFを生成する。
両方のファイルをアップロードする。
PDF処理をトリガーする。
ターゲットが脆弱であればペイロードを実行する。

カスタムペイロード

リバースシェルの代わりに、次のコマンドに渡すコマンドを変更することで、任意のオペレーティングシステムコマンドを実行できます:

create_pickle_with_cmd(command)

例は次のとおりです:

id
whoami
uname -a
cat /etc/passwd

注記

脆弱なアプリケーションは、pdfminer.six の脆弱なバージョンを使用してアップロードされたPDFを処理する必要があります。
アップロードされたpickleは、細工されたPDFで参照されているパスでアクセス可能な状態を維持する必要があります。
エクスプロイトの成功は、ターゲットの処理ワークフローとファイル保存レイアウトに依存します。

免責事項

このプルーフ・オブ・コンセプトは、教育目的、セキュリティ研究、および許可されたペネトレーションテストのためだけに提供されます。セキュリティテストを実行する明示的な許可があるシステムに対してのみ使用してください。

CVE-2025-64512

人気