CVE-2025-32432: Craft CMSにおける認証不要のリモートコード実行

このワークフローの詳細な分析を通じて、フェローたちは公開されたエンドポイントにPOSTリクエストが送信されるたびに、AssetsController::actionGenerateTransformメソッドが呼び出されることを特定しました。この関数はリクエスト本文から直接handleパラメータを取得し、次のステージでのさらなる処理のために下流へ転送します。

次のステップでは、ImageTransforms::normalizeTransform()メソッドが呼び出されます。このメソッドはユーザーが提供したハンドルパラメータを受け取り、それをImageTransformオブジェクトに変換します。このオブジェクトは信頼できない入力から直接作成されるため、実行フローにおける重大なリスクポイントとなります。

この処理中、ユーザーが制御する$transform配列（handle パラメータに由来）のすべてのキーと値のペアが設定配列に統合されます。その後、normalizeTransformメソッドはこの配列をCraft::createObject() に渡し、新しいImageTransformオブジェクトのインスタンス化を担当します。

この脆弱性は、Craft::createObject()（YiiのYii::createObject()をラップしたもの）が設定配列を処理する方法に起因します。このメカニズムはDIコンテナを使用して、検証されていない配列から直接オブジェクトをインスタンス化および設定するため、攻撃者はオブジェクト構築プロセスを制御できる可能性があります。

悪意のあるペイロードが渡されると、オブジェクトのコンストラクタ（Modelクラスから継承）がApp::configure()メソッドを呼び出します。

このメソッドは、攻撃者が制御する配列の各プロパティを反復処理し、それらを新しいオブジェクトに割り当てます。

When App::configure() assigns properties from the attacker-controlled configuration array, most keys are mapped directly onto the object. However, if a key begins with the prefix as, the assignment is routed through Component::__set, Yii’s magic setter. This method interprets as <name> as an instruction to attach a behavior (mixin) to the object.

そのような悪意のあるペイロードの一つは、Component::__set がasで始まるプロパティを処理する方法を悪用するように作成できる。例えば、as exploitのように:

分析の結果、Component::__setの実装には安全対策が含まれています。このプロパティを介してビヘイビアがアタッチされる際、フレームワークは設定配列で指定されたクラスがyii\base\Behavior の有効なサブクラスであるかどうかを検証します。このチェックは、任意のクラスがコンポーネントに直接アタッチされるのを防ぐことを目的としています。

しかし、この安全策は見た目ほど効果的ではありません。弱点はYii::createObjectが設定配列を処理する方法に起因しています。

オブジェクトをインスタンス化する際、Yii::createObject は 特別な __classパラメータを優先します。このキーが存在する場合、その値がインスタンス化のターゲットクラスとして使用され、設定配列内の標準の class キーは無視されます。

攻撃者は、次の2つのキーを含むエクスプロイト動作用のペイロードを作成できます：

1. 'class' => '\craft\behaviors\FieldLayoutBehavior'- yii\base\Behavior を拡張する正当なクラスです。この値は Component::__set 内の is_subclass_of チェックを満たすためだけに存在し、エラーを発生させずに実行を継続できるようにします。
2. '__class' => '\yii\rbac\PhpManager' - 攻撃者の実際の標的。インスタンス化したい「ガジェット」クラス。

コードが実行されると、Component::__set はセキュリティチェックを通過します。これはクラスキーのみを検査するためです。しかし、フレームワークが後でYii::createObject を呼び出して動作をアタッチする際、__class を優先するため、攻撃者が選択した\yii\rbac\PhpManagerオブジェクトが代わりにインスタンス化されます。

\yii\rbac\PhpManagerの使用は意図的なものです。単にオブジェクトを作成するだけでは悪用には不十分であり、RCE（リモートコード実行）を達成するには、武器化可能な副作用を持つガジェットクラスが必要です。 PhpManagerは初期化フローの特性上、POI（PHPオブジェクトインジェクション）攻撃の一般的な標的となる。インスタンス化時、init()メソッドがload()を呼び出し、さらにloadFromFile($this->itemFile)を実行する。攻撃者が$this->itemFileを制御できれば、アプリケーションに悪意のあるファイルを読み込ませることが可能となり、オブジェクト生成がコード実行へと転化される。

危険はloadFromFileメソッドに潜んでいます。PHPではrequireが対象ファイルをコードとして実行するため、攻撃者がファイルパスを制御できれば、任意のコード実行を引き起こすことが可能です。

サーバーに悪意のあるコードを配置するため、攻撃者はPHPセッションファイルを悪用する。リクエストパラメータにPHPを注入することで、Craft CMSはリダイレクト処理中にペイロードをセッションファイルに保存する。その後、PhpManagerがこのファイルを読み込むと、攻撃者のコードが実行される可能性がある。

攻撃の完全な連鎖は3段階で進行する。まず攻撃者は細工したURLを送信して悪意のあるPHPを仕込み、Craft CMSがこれをセッションファイルに保存する。次に画像変換エンドポイントの__classバイパスを悪用し、PhpManagerガジェットをロードして汚染されたセッションファイルを指し示す。最後にPhpManagerがファイルを読み込むと攻撃者のペイロードが実行され、RCE（リモートコード実行）とサーバーの完全な制御権を獲得する——多くの場合ウェブシェルやリバースシェルを介して。