🔐 CVE-2025-32432 — RCE Pré-Autenticação no Craft CMS

📌 Visão Geral

CVE-2025-32432 é uma vulnerabilidade crítica de Execução Remota de Código (RCE) pré-autenticação que afeta várias versões do Craft CMS. Ao encadear o armazenamento não saneado de dados de sessão com um gadget de desserialização inseguro, um atacante não autenticado pode executar comandos arbitrários no servidor remoto.

🎯 Versões Afetadas

⚠️ Todas as versões mais antigas que apresentam o comportamento de roteamento descrito também provavelmente são afetadas.

🧠 Detalhes da Vulnerabilidade

A vulnerabilidade surge ao encadear duas fraquezas distintas no endpoint assets/generate-transform:

1️⃣ Armazenamento Não Saneado de Dados de Sessão

O comportamento antigo de roteamento grava parâmetros de consulta brutos diretamente no arquivo de sessão PHP em /tmp/sess_<PHPSESSID>, sem saneamento ou filtragem.

2️⃣ Desserialização Insegura

Uma cadeia de gadgets de desserialização do Yii (FieldLayoutBehavior → PhpManager) permite que um atacante force a inclusão de um arquivo arbitrário — neste caso, o arquivo de sessão envenenado.

Impacto combinado: Comprometimento total do servidor, exfiltração de dados, movimento lateral e muito mais.

⚙️ Requisitos

• Python 3.7+
• requests
• urllib3

# Install via requirements file
pip install -r requirements.txt

# Or install directly
pip install requests urllib3

🚀 Uso

python exploit.py -u <target_url> -c "<command>" [options]

Argumentos

Exemplos

# Auto-exploit — brute-forces Asset ID automatically
python exploit.py -u https://craft.example.com -c "id"

# With a known Asset ID — more reliable and faster
python exploit.py -u https://craft.example.com -c "cat /etc/passwd" -a 42

# Custom timeout + verbose output
python exploit.py -u https://craft.example.com -c "uname -a" -t 10 -v

🔬 Como Funciona

Step 1 ──► Session Establishment
           Fetch homepage → obtain PHPSESSID cookie

Step 2 ──► Asset ID Resolution
           Provided via -a flag OR brute-forced (non-404 detection)

Step 3 ──► Session Poisoning
           Malicious GET request → raw PHP injected into /tmp/sess_<PHPSESSID>

Step 4 ──► RCE Trigger
           Crafted deserialisation payload → PhpManager includes session file
           → PHP executes → system command runs → output returned

💡 A saída do comando é exibida (primeiros 2.000 caracteres). Para interação completa, recomenda-se um reverse shell.

📋 Arquivo de Requisitos

requirements.txt

requests>=2.31.0
urllib3>=2.0

⚖️ Aviso Legal

Esta ferramenta destina-se exclusivamente a fins educacionais e a avaliações de segurança autorizadas.

Não a utilize contra qualquer sistema sem permissão explícita e por escrito do proprietário do sistema.

O autor não assume nenhuma responsabilidade por qualquer uso indevido ou dano causado por esta ferramenta. Ao utilizar este software, você concorda que é o único responsável pelas suas próprias ações e cumprirá todas as leis locais, nacionais e internacionais aplicáveis.

👤 Créditos

📄 Licença

Este projeto é distribuído sob a Licença MIT — consulte o arquivo LICENSE para obter todos os detalhes.