CVE-2025-32432: Lỗ hổng thực thi mã từ xa không cần xác thực trong Craft CMS

Thông qua phân tích chi tiết quy trình làm việc này, các cộng sự của chúng tôi đã xác định rằng phương thức AssetsController::actionGenerateTransform được gọi bất cứ khi nào một yêu cầu POST được gửi đến điểm cuối được công khai. Chức năng này truy xuất tham số handle trực tiếp từ phần thân yêu cầu và chuyển tiếp nó xuống phía dưới để xử lý tiếp ở giai đoạn tiếp theo.

Ở bước tiếp theo, phương thức ImageTransforms::normalizeTransform() được gọi. Phương thức này nhận tham số xử lý do người dùng cung cấp và chuyển đổi nó thành một đối tượng ImageTransform . Vì đối tượng được tạo trực tiếp từ đầu vào không đáng tin cậy, điều này представляет một điểm rủi ro nghiêm trọng trong luồng thực thi.

Trong quá trình này, tất cả các cặp khóa-giá trị từ mảng $transform do người dùng điều khiển (xuất phát từ tham số handle) được hợp nhất vào một mảng cấu hình. Phương thức normalizeTransform sau đó chuyển mảng này cho Craft::createObject() , phương thức chịu trách nhiệm tạo một đối tượng ImageTransform mới.

Lỗ hổng này xuất phát từ cách Craft::createObject() (bao bọc Yii::createObject() của Yii ) xử lý các mảng cấu hình. Vì cơ chế này sử dụng bộ chứa DI để khởi tạo và cấu hình các đối tượng trực tiếp từ mảng chưa được xác thực, kẻ tấn công có thể giành quyền kiểm soát quá trình tạo đối tượng.

Khi một payload độc hại được truyền vào, hàm tạo của đối tượng (kế thừa từ lớp Model ) sẽ gọi phương thức App::configure() .

Phương pháp này lặp qua từng thuộc tính trong mảng do kẻ tấn công kiểm soát và gán chúng cho đối tượng mới.

When App::configure() assigns properties from the attacker-controlled configuration array, most keys are mapped directly onto the object. However, if a key begins with the prefix as, the assignment is routed through Component::__set, Yii’s magic setter. This method interprets as <name> as an instruction to attach a behavior (mixin) to the object.

Một trong những đoạn mã độc hại như vậy có thể được tạo ra để khai thác cách Component::__set xử lý các thuộc tính có tiền tố là , chẳng hạn như khai thác :

Theo phân tích của chúng tôi, việc triển khai Component::__set bao gồm một biện pháp bảo vệ: khi một hành vi được gắn vào thông qua thuộc tính này, framework sẽ xác minh rằng lớp được chỉ định trong mảng cấu hình là một lớp con hợp lệ của yii\base\Behavior . Việc kiểm tra này nhằm mục đích ngăn chặn việc gắn trực tiếp các lớp tùy ý vào các thành phần.

Tuy nhiên, biện pháp bảo vệ này không hiệu quả như vẻ ngoài của nó. Điểm yếu nằm ở cách Yii::createObject xử lý các mảng cấu hình.

Khi khởi tạo một đối tượng, Yii::createObject ưu tiên tham số đặc biệt __class . Nếu khóa này tồn tại, giá trị của nó sẽ được sử dụng làm lớp đích để khởi tạo, và khóa lớp tiêu chuẩn trong mảng cấu hình sẽ bị bỏ qua.

Kẻ tấn công có thể tạo ra một payload cho hành vi khai thác bao gồm hai khóa:

1. 'class' => '\craft\behaviors\FieldLayoutBehavior' - Một lớp hợp lệ kế thừa từ yii\base\Behavior. Giá trị này chỉ tồn tại để đáp ứng điều kiện kiểm tra is_subclass_of trong Component::__set, cho phép quá trình thực thi tiếp tục mà không gây ra lỗi.
2. '__class' => '\yii\rbac\PhpManager' - Mục tiêu thực sự của kẻ tấn công. Đây là lớp "gadget" mà chúng muốn khởi tạo.

Khi mã được thực thi, Component::__set vượt qua kiểm tra bảo mật vì nó chỉ kiểm tra khóa lớp. Tuy nhiên, khi framework gọi Yii::createObject sau đó để gắn hành vi, nó ưu tiên __class, dẫn đến việc khởi tạo đối tượng \yii\rbac\PhpManager do kẻ tấn công lựa chọn.

Việc sử dụng \yii\rbac\PhpManager là có chủ đích. Chỉ tạo một đối tượng thôi là chưa đủ để khai thác; để đạt được RCE (thực thi mã từ xa) cần một lớp gadget có tác dụng phụ có thể bị lợi dụng. PhpManager là mục tiêu phổ biến trong các cuộc tấn công POI (PHP Object Injection) vì luồng khởi tạo của nó. Khi được khởi tạo, phương thức init() của nó gọi load() , sau đó gọi loadFromFile($this->itemFile) . Với quyền kiểm soát $this->itemFile , kẻ tấn công có thể buộc ứng dụng tải một tệp độc hại, biến việc tạo đối tượng thành thực thi mã.

Mối nguy hiểm nằm ở phương thức loadFromFile. Trong PHP, lệnh require thực thi tệp mục tiêu như một đoạn mã, vì vậy nếu kẻ tấn công kiểm soát đường dẫn tệp, chúng có thể kích hoạt việc thực thi mã tùy ý.

Để đưa mã độc hại lên máy chủ, kẻ tấn công khai thác các tệp phiên PHP . Bằng cách chèn mã PHP vào tham số yêu cầu, Craft CMS lưu trữ mã độc vào một tệp phiên trong quá trình chuyển hướng. Sau đó, khi PhpManager tải tệp này, mã của kẻ tấn công có thể được thực thi.

Chuỗi tấn công hoàn chỉnh hoạt động theo ba giai đoạn. Đầu tiên, kẻ tấn công cài đặt mã PHP độc hại bằng cách gửi một URL được tạo sẵn, mà Craft CMS sẽ lưu vào một tệp phiên. Tiếp theo, chúng khai thác lỗ hổng bỏ qua __class trong điểm cuối chuyển đổi hình ảnh để tải tiện ích PhpManager và trỏ nó đến tệp phiên bị nhiễm độc. Cuối cùng, khi PhpManager tải tệp, tải trọng của kẻ tấn công sẽ được thực thi, cấp quyền thực thi mã từ xa (RCE) và toàn quyền kiểm soát máy chủ — thường thông qua webshell hoặc reverse shell.