ハッカーが重要なCraft CMSの脆弱性を悪用、数百のサーバーが侵害された可能性

記事本文（要約）

攻撃者がCraft CMSにおける2つの新たに公開された深刻なセキュリティ脆弱性を悪用し、ゼロデイ攻撃でサーバーに不正アクセスを行う事例が確認されました。

Orange Cyberdefense SensePostによって2025年2月14日に観測されたこれらの攻撃には、次の脆弱性が絡んでいます。

CVE-2024-58136（CVSSスコア: 9.0）: Yii PHPフレームワークの不適切なパス保護により制限された機能やリソースにアクセス可能（CVE-2024-4990のリグレッション）。
CVE-2025-32432（CVSSスコア: 10.0）: Craft CMSのリモートコード実行（RCE）脆弱性。画像変換機能に存在。これがバージョン3.9.15、4.14.15、及び5.6.17で修正。

攻撃者は、複数のPOSTリクエストを行い有効なアセットIDを見つけ、その後Pythonスクリプトを使ってサーバーが脆弱かを確認し、脆弱であればPHPファイルをGitHubからダウンロードします。

2025年4月18日時点で約13,000のCraft CMSインスタンスが脆弱で、そのうち約300が侵害されたとされています。

さらに、Active! Mailのゼロデイ脆弱性（CVE-2025-42599、CVSSスコア: 9.8）が日本国内での攻撃で悪用されており、バージョン6.60.06008562で修正されています。

押収された場合の推奨対策としては、セキュリティキーの更新、データベース認証情報の変更、ユーザーパスワードのリセット、防火壁レベルでの悪意あるリクエストの遮断が含まれます。

※この要約はChatGPTを使用して生成されました。

公開日: Mon, 28 Apr 2025 12:43:00 +0530

詳細な技術情報

以下に提供された情報を基に、Craft CMSに関連する脆弱性について詳細に分析します。

CVSSスコア: 9.0
脆弱性の仕組み: Yii PHPフレームワークにおける不適切な保護によるもので、制限された機能やリソースにアクセスされる恐れがあります。この脆弱性はCVE-2024-4990に関連するものです。

CVSSスコア: 10.0
脆弱性の仕組み: Craft CMSにおけるリモートコード実行（RCE）脆弱性。特定の形式に画像を変換する機能を悪用することで、非認証ユーザーがPOSTリクエストを送信し、サーバーがデータを不適切に解釈します。

攻撃者は有効なアセットIDを見つけるまでPOSTリクエストを繰り返し送信します。これはCraft CMSのドキュメントファイルやメディアが一意のIDで管理されていることによります。
アセットIDが見つかると、Pythonスクリプトを実行してサーバーが脆弱かどうかを確認し、GitHubからPHPファイルをサーバーにダウンロードします。

Craft CMSのアップデート: 脆弱性が修正されたバージョン（3.9.15、4.14.15、5.6.17）にアップデートする。
ログの監視: ファイアウォールやWebサーバーのログを確認し、actions/assets/generate-transformエンドポイントへの不審なPOSTリクエストをチェックする。
セキュリティの強化: