🔐 CVE-2025-32432 — Craft CMS RCE Pre-Auth

📌 Panoramica

CVE-2025-32432 è una vulnerabilità critica di esecuzione di codice remoto (RCE) pre-autenticazione che colpisce diverse versioni di Craft CMS. Combinando l'archiviazione non sanificata dei dati di sessione con un gadget di deserializzazione insicura, un attaccante non autenticato può eseguire comandi arbitrari sul server remoto.

🎯 Versioni Vulnerabili

⚠️ Tutte le versioni precedenti che presentano il comportamento di routing descritto sono probabilmente anch'esse vulnerabili.

🧠 Dettagli della Vulnerabilità

La vulnerabilità nasce dalla combinazione di due debolezze distinte nell'endpoint assets/generate-transform:

1️⃣ Archiviazione Non Sanificata dei Dati di Sessione

Il vecchio comportamento di routing scrive i parametri di query grezzi direttamente nel file di sessione PHP in /tmp/sess_<PHPSESSID>, senza alcuna sanificazione o filtro.

2️⃣ Deserializzazione Insicura

Una catena di gadget di deserializzazione di Yii (FieldLayoutBehavior → PhpManager) consente a un attaccante di forzare l'inclusione di un file arbitrario — in questo caso, il file di sessione avvelenato.

Impatto combinato: compromissione totale del server, esfiltrazione di dati, movimento laterale e altro.

⚙️ Requisiti

• Python 3.7+
• requests
• urllib3

# Installazione tramite file dei requisiti
pip install -r requirements.txt

# Oppure installazione diretta
pip install requests urllib3

🚀 Utilizzo

python exploit.py -u <target_url> -c "<comando>" [opzioni]

Argomenti

Esempi

# Auto-exploit — esegue il brute-force automatico dell'ID Asset
python exploit.py -u https://craft.example.com -c "id"

# Con un ID Asset noto — più affidabile e veloce
python exploit.py -u https://craft.example.com -c "cat /etc/passwd" -a 42

# Timeout personalizzato + output dettagliato
python exploit.py -u https://craft.example.com -c "uname -a" -t 10 -v

🔬 Come Funziona

Passo 1 ──► Creazione della Sessione
           Recupera la homepage → ottieni il cookie PHPSESSID

Passo 2 ──► Risoluzione dell'ID Asset
           Fornito tramite flag -a OPPURE brute-force (rilevamento non-404)

Passo 3 ──► Avvelenamento della Sessione
           Richiesta GET dannosa → PHP grezzo iniettato in /tmp/sess_<PHPSESSID>

Passo 4 ──► Attivazione della RCE
           Payload di deserializzazione costruito → PhpManager include il file di sessione
           → PHP viene eseguito → il comando di sistema parte → l'output viene restituito

💡 L'output del comando viene stampato (primi 2.000 caratteri). Per un'interazione completa, si consiglia una reverse shell.

📋 File dei Requisiti

requirements.txt

requests>=2.31.0
urllib3>=2.0

⚖️ Disclaimer

Questo strumento è destinato esclusivamente a scopi educativi e a valutazioni di sicurezza autorizzate.

Non utilizzarlo contro alcun sistema senza un'autorizzazione esplicita e scritta del proprietario del sistema.

L'autore declina qualsiasi responsabilità per usi impropri o danni causati da questo strumento. Utilizzando questo software, accetti di essere l'unico responsabile delle tue azioni e di conformarti a tutte le leggi locali, nazionali e internazionali applicabili.

👤 Crediti

📄 Licenza

Questo progetto è rilasciato sotto la Licenza MIT — consulta il file LICENSE per tutti i dettagli.