CVE-2025-32432: تنفيذ رمز عن بُعد غير مصدق في Craft CMS

من خلال تحليل مفصل لسير العمل هذا، توصل زملاؤنا إلى أن الطريقة AssetsController::actionGenerateTransform يتم استدعاؤها كلما تم إرسال طلب POST إلى نقطة النهاية المكشوفة. تسترد هذه الوظيفة معلمة المقبض مباشرة من نص الطلب وتقوم بإعادة توجيهها إلى المرحلة التالية لمزيد من المعالجة.

في الخطوة التالية، يتم استدعاء الأسلوب ImageTransforms::normalizeTransform(). يأخذ هذا الأسلوب المعلمة handle التي يوفرها المستخدم ويحولها إلى كائن ImageTransform. ونظرًا لأن الكائن يتم إنشاؤه مباشرةً من مدخلات غير موثوقة، فإن هذا يمثل نقطة خطر حرجة في تدفق التنفيذ.

خلال هذه العملية، يتم دمج جميع أزواج القيم الرئيسية من المصفوفة $transform التي يتحكم فيها المستخدم (والتي تنشأ من معلمة handle) في مصفوفة تكوين. ثم تقوم طريقة normalizeTransform بتمرير هذه المصفوفة إلى Craft::createObject()، المسؤولة عن إنشاء مثيل جديد لكائن ImageTransform.

تنبع هذه الثغرة الأمنية من الطريقة التي تعالج بها Craft::createObject() ( التي تغلف Yii::createObject() في Yii) مصفوفات التكوين. ونظرًا لأن هذه الآلية تستخدم حاوية DI لإنشاء وتكوين الكائنات مباشرةً من المصفوفة غير المصدق عليها، فقد يتمكن المهاجمون من السيطرة على عملية إنشاء الكائنات.

عندما يتم تمرير حمولة ضارة، يقوم منشئ الكائن (الموروث من فئة Model ) باستدعاء طريقة App::configure().

تكرر هذه الطريقة كل خاصية في المصفوفة التي يتحكم فيها المهاجم وتعيّنها إلى الكائن الجديد.

When App::configure() assigns properties from the attacker-controlled configuration array, most keys are mapped directly onto the object. However, if a key begins with the prefix as, the assignment is routed through Component::__set, Yii’s magic setter. This method interprets as <name> as an instruction to attach a behavior (mixin) to the object.

يمكن تصميم أحد هذه الحمولات الضارة لاستغلال الطريقة التي يعالج بها Component::__set الخصائص المسبوقة بـ as، مثل as exploit:

من تحليلنا، يتضمن تنفيذ Component::__set إجراءً وقائياً: عندما يتم إرفاق سلوك من خلال خاصية كهذه، يتحقق الإطار من أن الفئة المحددة في مصفوفة التكوين هي فئة فرعية صالحة لـ yii\base\Behavior. يهدف هذا الفحص إلى منع إرفاق فئات عشوائية مباشرة بالمكونات.

ومع ذلك، فإن هذه الحماية ليست فعالة كما تبدو. وتكمن نقطة الضعف في كيفية تعامل Yii::createObject مع مصفوفات التكوين.

عند إنشاء مثيل لكائن، يعطي Yii::createObject الأولوية للمعلمة الخاصة __class. إذا كان هذا المفتاح موجودًا، يتم استخدام قيمته كفئة هدف لإنشاء المثيل، ويتم تجاهل مفتاح الفئة القياسي في مصفوفة التكوين.

يمكن للمهاجم إنشاء حمولة لسلوك الاستغلال تتضمن مفتاحين:

1. 'class' => '\craft\behaviors\FieldLayoutBehavior' - فئة شرعية تمتد yii\base\Behavior. توجد هذه القيمة فقط لتلبية متطلبات فحص is_subclass_of في Component::__set، مما يسمح باستمرار التنفيذ دون إثارة أي خطأ.
2. '__class' => '\yii\rbac\PhpManager' - الهدف الفعلي للمهاجم. هذه هي فئة "الأداة" التي يريدون إنشاء مثيل لها.

عند تنفيذ الكود، يجتاز Component::__set فحص الأمان لأنه يفحص مفتاح الفئة فقط. ومع ذلك، عندما يستدعي إطار العمل لاحقًا Yii::createObject لإرفاق السلوك، فإنه يعطي الأسبقية لـ __class، مما يؤدي إلى إنشاء مثيل الكائن \yii\rbac\PhpManager الذي اختاره المهاجم بدلاً من ذلك.

استخدام \yii\rbac\PhpManager هو أمر مقصود. لا يكفي إنشاء كائن فقط للاستغلال؛ لتحقيق RCE، يلزم وجود فئة أداة ذات آثار جانبية يمكن استخدامها كسلاح. يعد PhpManager هدفًا شائعًا في هجمات POI (PHP Object Injection) بسبب تدفق التهيئة الخاص به. عند الإنشاء، تستدعي طريقة init() الخاصة به load()، والتي تستدعي بدورها loadFromFile($this->itemFile). من خلال التحكم في $this->itemFile، يمكن للمهاجم إجبار التطبيق على تحميل ملف ضار، وتحويل إنشاء الكائن إلى تنفيذ كود.

يكمن الخطر في طريقة loadFromFile. في PHP، يقوم require بتنفيذ الملف المستهدف كرمز، لذا إذا كان المهاجم يتحكم في مسار الملف، فيمكنه تشغيل تنفيذ رمز عشوائي.

لوضع رمز ضار على الخادم، يستغل المهاجم ملفات جلسة PHP. عن طريق حقن PHP في معلمة الطلب، يقوم Craft CMS بحفظ الحمولة في ملف جلسة أثناء عملية إعادة التوجيه. لاحقًا، عندما يقوم PhpManager بتحميل هذا الملف، يمكن تنفيذ رمز المهاجم.

تعمل سلسلة الهجوم الكاملة على ثلاث مراحل. أولاً، يزرع المهاجم PHP ضارًا عن طريق إرسال عنوان URL مصمم خصيصًا، والذي يحفظه Craft CMS في ملف جلسة. بعد ذلك، يستغلون تجاوز __class في نقطة نهاية تحويل الصورة لتحميل أداة PhpManager وتوجيهها نحو ملف الجلسة الملوث. أخيرًا، عندما يقوم PhpManager بتحميل الملف، يتم تنفيذ حمولة المهاجم، مما يمنحه RCE والتحكم الكامل في الخادم — غالبًا من خلال webshell أو reverse shell.