PHP Voyager の脆弱性 CVE-2024-55415／55416／55417：パッチ未適用の One-Click RCE

Unpatched PHP Voyager Flaws Leave Servers Open to One-Click RCE Exploits

2025/01/30 TheHackerNews — オープンソースの PHP パッケージ Voyager に、３件のセキュリティ上の欠陥が発見された。それらを悪用する攻撃者は、影響を受けるインスタンス上で、ワンクリックのリモート・コード実行を達成するという。Sonar の研究者である Yaniv Nizry は、「認証された Voyager ユーザーが、悪意のリンクをクリックすると、攻撃者はサーバ上で任意のコードを実行できる」と、今週の初めに公開した記事で述べている。

発見された３つの脆弱性は、2024年9月1 日の時点で情報開示が開示されたが、現時点においてはパッチが適用されていない：

• CVE-2024-55417：“/admin/media/upload” エンドポイントにおける、任意のファイル書き込みの脆弱性
• CVE-2024-55416：“/admin/compass” エンドポイントにおける、反射型クロス・サイト・スクリプティング (XSS) の脆弱性
• CVE-2024-55415：任意のファイルの漏洩／削除の脆弱性

Voyager のメディア・アップロード機能を悪用する攻撃者は、MIME タイプ検証をバイパスして悪意のファイルをアップロードし、イメージ／ビデオを装う Polyglot ファイルでサーバを騙し、そこに埋め込んだ PHP スクリプトを処理させることで、リモート・コード実行を達成するという。

脆弱性 CVE-2024-55417 と CVE-2024-55416 には連鎖の可能性があり、被害者が悪意のリンクをクリックすると、コード実行につながる深刻な脅威が生じる。

Yaniv Nizry は、「認証されたユーザーが、特別に細工されたリンクをクリックすると、任意の JavaScript コードが実行される可能性がある。その結果として攻撃者は、被害者のコンテキストの中で、あらゆるアクションを実行できるようになる」と述べている。

その一方で、脆弱性 CVE-2024-55415 は、ファイル管理システムの欠陥に関するものであり、システム上の任意のファイルの消去や、XSS 脆弱性と組み合わせによるファイル・コンテンツの抽出などを、脅威アクターに許すものである。

修正が行われない場合において、このプロジェクトを使用する際には、注意を払う必要がある。

PHP Voyager に３つの One-Click RCE 脆弱性が発見されましたが、現時点ではパッチが未適用とのことです。ご利用のチームは、ご注意ください。このブログでは初登場の PHP Voyager なので、公式サイトを調べたところ、「BREAD (CRUD) 操作／メディア・マネージャー／メニュー・ビルダーなど、さまざまな機能を含む Laravel の管理パッケージである」と解説されていました。よろしければ、PHP で検索も、ご参照ください。