脆弱性の概要

CVE-2023-41892 は Craft CMS バージョン 4.0.0-RC1 から 4.4.14 に影響します。この問題は Craft CMS 4.4.15 で修正されました。

両方のスクリプトで使用される脆弱なエンドポイントは次のとおりです：

PoC はデフォルトのローカルラボ URL を対象としています：

ラボが別のホストまたはポートで動作している場合は、LFI_to_RCE.py と Imagick_PoC.py の上部付近にある URL の値を更新してください。

要件

• Docker および Docker Compose
• Python 3
• Python パッケージ: requests

Python の依存関係をインストールします：

ラボのセットアップ

脆弱な Craft CMS 環境を起動します：

Craft CMS インストーラーを開きます：

インストール中に次のデフォルトデータベース設定を使用します：

インストール後、次の URL でサイトにアクセスできることを確認します：

使用方法

リポジトリのルートからコマンドを実行します：

PoC 1: ログポイズニングによる RCE

実行：

動作の仕組み：

1. Craft CMS のログに PHP コードを含む不正な JSON を送信します。

2. 現在のローカル日付を使用してログファイルのパスを構築します：

   root@kitploit:~

   ../storage/logs/web-YYYY-MM-DD.log
   

3. craft\elements\conditions\users\UserCondition と \Psy\Configuration を使用して、ポイズニングされたログファイルをインクルードします。

4. レスポンスに phpinfo() の出力が現れるかどうかを確認します。

期待される成功出力：

PoC 2: Imagick MSL ファイル書き込み

実行：

動作の仕組み：

1. マルチパートフォームデータを介して MSL ペイロードをアップロードします。
2. Imagick ガジェットを使用してオブジェクトの作成をトリガーします。
3. webshell.php をウェブルートに書き込もうとします。
4. http://localhost:8088/webshell.php にリクエストし、phpinfo() の出力を確認します。

期待される成功出力：

Imagick パスは、ペイロードがトリガーされた後に PHP ワーカーをクラッシュさせる可能性があります。Vulhub ラボでは、クラッシュ前に webshell.php が書き込まれていれば、これは正常な動作です。

設定

両方のスクリプトはファイルの先頭でターゲット URL を定義しています：

脆弱なラボが別のアドレスで公開されている場合は、この値を変更してください。

Imagick_PoC.py は生成されたファイルを次の場所で確認します：

トラブルシューティング

スクリプトが接続できない

• コンテナが実行中であることを確認します：

  root@kitploit:~

  cd Vulnhub_env
  docker compose ps
  

• サイトが http://localhost:8088 でアクセス可能であることを確認します。

• 別のサービスが既にポート 8088 を使用していないか確認します。

• 公開ポートを変更した場合は、Python スクリプトの URL の値を更新します。

LFI_to_RCE.py が PHP Version を表示しない

• Craft CMS のインストールが完了していることを確認します。
• Craft CMS が storage/logs/ の下にログを書き込んでいることを確認します。
• ログファイル名の日付がコンテナの日付と一致していることを確認します。
• ホストとコンテナの日付が異なる場合は、LFI_to_RCE.py 内の生成される web-YYYY-MM-DD.log パスを更新します。

Imagick_PoC.py が /webshell.php に対して 404 を返す

• ターゲット環境で Imagick PHP 拡張機能が有効になっていることを確認します。
• PHP プロセスがウェブルートに書き込み可能であることを確認します。
• アップロードされた一時ファイルが /tmp/php* の下に作成されることを確認します。
• トリガーリクエスト中に PHP ワーカーがクラッシュした場合は、もう一度やり直してください。

クリーンアップ

ラボを停止します：

クリーンな再インストールを行う場合は、コンテナとデータベースボリュームを削除します：

緩和策

Craft CMS を 4.4.15 以降にアップグレードしてください。

悪用が疑われる場合は、Craft CMS のセキュリティキー、データベース認証情報、アプリケーションのシークレット、および環境に保存されているすべての認証情報をローテーションしてください。

参考資料

• Vulhub 再現: https://github.com/vulhub/vulhub/blob/master/craftcms/CVE-2023-41892/README.md
• Craft CMS アドバイザリ: https://github.com/craftcms/cms/security/advisories/GHSA-4w8r-3xrw-v25g
• NVD エントリ: https://nvd.nist.gov/vuln/detail/CVE-2023-41892