🔐 CVE-2025-32432 — Craft CMS Vorauthentifizierung RCE

📌 Übersicht

CVE-2025-32432 ist eine kritische Schwachstelle zur Remote-Code-Ausführung (RCE) vor der Authentifizierung, die mehrere Versionen von Craft CMS betrifft. Durch die Verknüpfung von ungesäuberter Sitzungsdatenspeicherung mit einem unsicheren Deserialisierungs-Gadget kann ein nicht authentifizierter Angreifer beliebige Befehle auf dem entfernten Server ausführen.

🎯 Betroffene Versionen

⚠️ Alle älteren Versionen, die das beschriebene Routing-Verhalten aufweisen, sind wahrscheinlich ebenfalls betroffen.

🧠 Schwachstellendetails

Die Schwachstelle entsteht durch die Verknüpfung zweier unterschiedlicher Schwachstellen im Endpunkt assets/generate-transform:

1️⃣ Ungesäuberte Sitzungsdatenspeicherung

Altes Routing-Verhalten schreibt rohe Abfrageparameter direkt in die PHP-Sitzungsdatei unter /tmp/sess_<PHPSESSID>, ohne Bereinigung oder Filterung.

2️⃣ Unsichere Deserialisierung

Eine Yii-Deserialisierungs-Gadget-Kette (FieldLayoutBehavior → PhpManager) erlaubt einem Angreifer, die Einbindung einer beliebigen Datei zu erzwingen – in diesem Fall die vergiftete Sitzungsdatei.

Kombinierte Auswirkungen: Vollständige Serverkompromittierung, Datenexfiltration, laterale Bewegung und mehr.

⚙️ Anforderungen

• Python 3.7+
• requests
• urllib3

# Installation über die Anforderungsdatei
pip install -r requirements.txt

# Oder direkte Installation
pip install requests urllib3

🚀 Verwendung

python exploit.py -u <target_url> -c "<command>" [Optionen]

Argumente

Beispiele

# Automatische Ausnutzung – Asset-ID wird automatisch erraten
python exploit.py -u https://craft.example.com -c "id"

# Mit bekannter Asset-ID – zuverlässiger und schneller
python exploit.py -u https://craft.example.com -c "cat /etc/passwd" -a 42

# Eigenes Timeout + ausführliche Ausgabe
python exploit.py -u https://craft.example.com -c "uname -a" -t 10 -v

🔬 Funktionsweise

Schritt 1 ──► Sitzungsaufbau
           Startseite abrufen → PHPSESSID-Cookie erhalten

Schritt 2 ──► Asset-ID-Auflösung
           Über -a-Flag bereitgestellt ODER per Brute-Force (Nicht-404-Erkennung)

Schritt 3 ──► Sitzungsvergiftung
           Böswillige GET-Anfrage → rohes PHP in /tmp/sess_<PHPSESSID> injiziert

Schritt 4 ──► RCE-Auslösung
           Maßgeschneiderter Deserialisierungs-Payload → PhpManager bindet Sitzungsdatei ein
           → PHP ausgeführt → Systembefehl läuft → Ausgabe zurückgegeben

💡 Die Befehlsausgabe wird ausgegeben (erste 2.000 Zeichen). Für vollständige Interaktion wird eine Reverse-Shell empfohlen.

📋 Anforderungsdatei

requirements.txt

requests>=2.31.0
urllib3>=2.0

⚖️ Haftungsausschluss

Dieses Tool ist ausschließlich für Bildungszwecke und autorisierte Sicherheitsbewertungen vorgesehen.

Verwenden Sie es nicht gegen ein System ohne ausdrückliche schriftliche Genehmigung des Systembesitzers.

Der Autor übernimmt keine Haftung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden. Durch die Nutzung dieser Software erklären Sie sich damit einverstanden, dass Sie allein für Ihre Handlungen verantwortlich sind und alle geltenden lokalen, nationalen und internationalen Gesetze einhalten.

👤 Credits

📄 Lizenz

Dieses Projekt wird unter der MIT-Lizenz veröffentlicht – siehe die Datei LICENSE für vollständige Details.