CakePHPのSecurityComponentの脆弱性で任意のPHPコードが実行できる仕組み - disり用。

もはや懐かしい感じのあるCakePHPのセキュリティトークンから任意のPHPを実行できる脆弱性ですが、なぜこれで任意のPHPコードが実行可能になってしまうのか心配で夜も眠れない方の為に、実行される仕組みを解説してみようと思います。詳細とアドバイザリ、PoCは以下のものを参照しています。 http://co3k.org/diary/12 http://malloc.im/CakePHP-unserialize.txt http://malloc.im/burnedcake.py CakePHPのSecurityComponentが提供するCSRF対策のトークンは単一の識別子ではなく、':' でトークンと$lockedという謎の値が繋がれたものになっています。$lockedには配列をシリアライズしたものをROT13で変換したものが入っています。この$lockedに任意の値を入れることで任意のP

[raimon49]

デシリアライズされた任意のコードがキャッシュファイルに保存されて、それをロードされた時点で攻撃成立

[ockeghem]

解説ありがとうございます。際どい攻撃ですが、諸般の事情により成立してしまうところがなんとも