CVE-2009-2265 - Adobe ColdFusion RCE

ColdFusion에 번들로 포함된 FCKeditor 컴포넌트의 임의 파일 업로드를 통한 인증되지 않은 원격 코드 실행. 파일 업로드 엔드포인트는 filename 파라미터에서 널 바이트 주입을 허용하여, JSP 웹셸을 업로드하고 서버에서 직접 실행할 수 있게 한다.

취약한 버전

*ColdFusion 9.0은 FCKeditor 컴포넌트가 제거/업데이트되지 않은 경우 취약함.

패치: Adobe Security Bulletin APSB09-09 (2009년 7월).

사용법

스크립트 상단의 변수를 편집한다:

lhost = 'YOUR_IP'
lport = 4444
rhost = 'TARGET_IP'
rport = 8500

실행:

python3 poc.py

스크립트는 다음을 수행한다:

1. msfvenom을 통해 JSP 리버스 셸을 생성
2. FCKeditor 엔드포인트를 통해 대상에 업로드
3. lport에서 nc 리스너 시작
4. 셸을 자동으로 트리거

셸이 몇 초 내에 도착하지 않으면 수동으로 트리거한다:

curl http://<rhost>:<rport>/userfiles/file/<filename>.jsp

파일 이름은 업로드 후 stdout에 출력된다.

요구 사항

msfvenom
netcat (nc)
python3

취약한 엔드포인트

/CFIDE/scripts/ajax/FCKeditor/editor/filemanager/connectors/cfm/upload.cfm

참고 사항

• 기본 ColdFusion 포트는 8500 (HTTP) 또는 8300 (HTTPS)
• 업로드된 파일은 /userfiles/file/에 저장됨
• CurrentFolder 파라미터의 널 바이트(%00)는 파일 이름을 잘라내어, 업로드가 .txt로 보이더라도 서버가 파일을 .jsp 확장자로 저장하게 함
• Windows 대상에서는 셸이 cmd.exe가 되고, Linux에서는 /bin/sh가 됨