CVE-2024-44902 - ThinkPHP 安全でないデシリアライゼーションによるRCE

nuclei-templates検証用の脆弱環境。

脆弱性の詳細

説明

ThinkPHP バージョン 6.1.3 から 8.0.4 には、安全でないデシリアライゼーションの脆弱性が含まれています。Memcached PHP 拡張機能がインストールされている場合、攻撃者はユーザー入力に対して unserialize() を呼び出すエンドポイントに悪意のあるシリアル化データを送信することで、任意のコードを実行できます。

このエクスプロイトは、ThinkPHP の内部クラスを利用したガジェットチェーンを悪用します:

ResourceRegister → DbManager → Memcached → Pivot → Model

クイックスタート

git clone https://github.com/KrE80r/CVE-2024-44902-env.git
cd CVE-2024-44902-env
docker compose up -d

テスト

# Verify app is running
curl http://localhost:8080/

# Test with nuclei template
nuclei -t CVE-2024-44902.yaml -u http://localhost:8080 -debug

# Cleanup
docker compose down

環境詳細

この環境は、composer create-project で作成された ThinkPHP アプリケーションです:

• ベースイメージ: php:8.0.7-apache
• アプリケーションスケルトン: topthink/think:v8.0.0
• フレームワーク: topthink/framework:8.0.4 (脆弱)
• PHP 拡張機能: Memcached 3.2.0 (ガジェットチェーンに必要)
• 脆弱なエンドポイント: /api/import?data=<serialized_payload>
• ポート: 8080

この環境の理由

この脆弱なコントローラは、以下のようなシナリオをシミュレートしています:

• 外部キャッシュシステムからのシリアル化データを処理する
• 外部ストアからのセッションデータを処理する
• レガシーAPIや移行ツールからのデータを受け入れる
• シリアル化形式からキャッシュオブジェクトを復元する

これは、標準的なルーティングとコントローラパターンを備えた正規の ThinkPHP アプリケーション構造です。

期待される結果

脆弱なターゲット（検出されるべき）

$ nuclei -t CVE-2024-44902.yaml -u http://localhost:8080
[CVE-2024-44902] [http] [critical] http://localhost:8080/api/import?data=...

クリーンなターゲット（検出されるべきではない）

$ nuclei -t CVE-2024-44902.yaml -u http://localhost:8090  # httpd:latest
# No results

参考文献

• NVD CVE-2024-44902
• GitHub Advisory GHSA-f4wh-359g-4pq7
• GitLab Advisory

免責事項

これは、セキュリティテスト専用の意図的に脆弱な環境です。

• 本番環境にデプロイしないでください
• インターネットに公開しないでください
• 許可されたセキュリティテストのみに使用してください
• nuclei テンプレート検証を目的としています