Angular-Base64-Upload において同梱されているデモ用アプリケーションの検証不備により任意のファイルがアップロード可能となる脆弱性（Scan Tech Report）

◆概要
　2024 年 11 月に公開された Angular-Base64-Upload に存在する脆弱性に対するエクスプロイトコードが公開されています。脆弱性を悪用されてしまうと、当該ソフトウェアが稼働している Web サーバに侵入されてしまいます。ファイルの削除などにより対策してください。

◆分析者コメント
　脆弱性はソフトウェア本体の問題ではなく、ソフトウェアを用いた簡易的なデモ用アプリケーションがインストールされてしまうというものです。本ソフトウェアに限らず、ソフトウェアのインストール時には不要なアプリケーションやサンプルファイルを削除するように NIST などの機関からも勧告が出ているため、なにかしらのソフトウェアをインストールする際には注意しましょう。

◆深刻度(CVSS)
[CVSS v3.1]
9.8

https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2024-42640&vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=CISA-ADP

◆影響を受けるソフトウェア
　Angular-Base64-Upload のバージョン v0.1.21 よりも古いバージョンが当該脆弱性の影響を受けます。

◆解説
　ファイルアップロード機能を Web アプリケーションに実装する Angular 製のライブラリソフトウェアである Angular-Base64-Upload に、遠隔からの任意のコード実行につながるファイルアップロードの脆弱性が報告されています。

　脆弱性はライブラリをインストールした際に同梱されているデモ用アプリケーションに存在します。当該デモ用アプリケーションは、ライブラリの使い方を示す簡易的なものであり、アップロードされるファイルの種類を検証しないため PHP などのコードがサーバ上にアップロードできます。デモ用アプリケーションは、Bower や NPM などのパッケージ管理ソフトでインストールした場合でもライブラリの一部として同梱されます。攻撃者は当該デモ用アプリケーションを介して、悪意のある Web コンテンツを対象サーバにアップロードして、遠隔からの任意のコード実行が可能となります。

◆対策
demo フォルダの server.php または demo フォルダごと削除してください。

◆関連情報
[1] Zyenra Security
　　https://www.zyenra.com/blog/unauthenticated-rce-in-angular-base64-upload.html
[2] National Vulnerability Database (NVD)
　　https://nvd.nist.gov/vuln/detail/CVE-2024-42640
[3] CVE Mitre
　　https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-42640

◆エクスプロイト
　以下の Web サイトにて、当該脆弱性を悪用して対象ホストへの侵入を試みるエクスプロイトコードが公開されています。

　　GitHub - rvizx/CVE-2024-42640
　　https://github.com/rvizx/CVE-2024-42640/blob/main/exploit.py

#--- で始まる行は執筆者によるコメントです。