ScriptCase - 事前認証なしのリモートコマンド実行

管理者パスワードリセット（認証バイパス、CVE-2025-47227）とシェルインジェクション（認証済みリモートコマンド実行、CVE-2025-47228）の連鎖

事前認証なしのリモートコマンド実行は、2つの脆弱性を連鎖させることで実現されます。1つ目は、特定の条件下でプロダクションコンソールの管理者パスワードをリセットできること、2つ目は、ユーザー入力がsshシステムコマンドに直接連結される接続機能における単純な認証済みリモートコマンド実行です。

必要条件

このエクスプロイトで使用されるサードパーティのPython依存関係は、以下のいずれかのコマンドでインストールできます：

# pip - universal
pip3 install Pillow pytesseract requests beautifulsoup4

# pacman - Arch Linux
pacman -S python-pillow python-pytesseract python-requests python-beautifulsoup4

使い方

以下のシナリオに対応するエクスプロイトスクリプトが作成されました：

• 2つの脆弱性（パスワードリセットと認証済みコマンド実行）を連鎖させて事前認証なしのリモートコマンド実行を実行
• パスワードリセットのみ実行
• 認証済みコマンド実行のみ実行
• デプロイメントパスを検出

Usage:
  Examples:

  Pre-Auth RCE (password reset + RCE)
    python exploit.py -u http://example.org/scriptcase -c "command"
  Password reset only (no auth)
    python exploit.py -u http://example.org/scriptcase
  RCE only (need account)
    python exploit.py -u http://example.org/scriptcase -c "command" -p 'Password123*'
  Detect deployment path
    python exploit.py -u http://example.org/ -d


Options:
  -h, --help            show this help message and exit
  -u BASE_URL, --base-url=BASE_URL
  -c COMMAND, --command=COMMAND
  -p PASSWORD, --password=PASSWORD
  -d, --detect

影響を受けるバージョン

Production Environmentモジュールのバージョン1.0.003-build-2が影響を受けます。このモジュールのバージョンはScriptCaseバージョン9.12.006 (23)に含まれています。以前のバージョンも脆弱である可能性があります。

参考

https://www.synacktiv.com/advisories/scriptcase-pre-authenticated-remote-command-execution