Trusted DesignCVE-2024-58136 の詳細
CVEの情報
説明:
Yii 2 before 2.0.52 mishandles the attaching of behavior that is defined by an __class array key, a CVE-2024-4990 regression, as exploited in the wild in February through April 2025.
CVE更新日: 2025-04-10 03:15:17.767000
CVSSバージョン: 3.1
CVSSスコア: 9.0
KEVの情報
KEV更新日: 2025-05-02
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.877570000
EPSS更新日: 2026-10-18 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2024-58136について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2024-58136は、Yii PHPフレームワークに存在する深刻なセキュリティ脆弱性です。この脆弱性は、
__class配列キーによって定義されたビヘイビアのアタッチメント処理の不適切な取り扱いに起因し、以前の脆弱性であるCVE-2024-4990の回帰として発生しました。 攻撃者は、この欠陥を悪用してビヘイビアのアタッチメントプロセスを操作し、本来のセキュリティ制御を回避する可能性があります。 この脆弱性は、CWE-424「代替パスの不適切な保護」に分類されています。 特に、JSONオブジェクトで__classパラメータを含むビヘイビアをコンポーネントにアタッチすることを許可するアプリケーションに影響を与えます。1.1 影響
この脆弱性は、リモートコード実行 (RCE) や権限昇格につながる可能性があります。 攻撃者は、任意のPHPクラスをインスタンス化し、悪意のあるコンストラクタ引数を渡したり、安全でないリフレクションを通じてセッターメソッドを呼び出したりすることが可能です。 結果として、機密性、完全性、可用性の完全な侵害に至る可能性があります。 実際の攻撃では、Craft CMSを標的としたRCEのトリガーとして悪用され、データ窃盗やシステム全体の侵害が発生しました。
1.2 深刻度
CVE-2024-58136は「緊急（Critical）」と評価されており、CVSS v3.1ベーススコアは9.0 または9.8 です。 * CVSS v3.1スコア 9.0 の詳細: * 攻撃ベクトル (AV): ネットワーク (N) * 攻撃の複雑さ (AC): 高 (H) * 必要な権限 (PR): なし (N) * ユーザーインタラクション (UI): なし (N) * スコープ (S): 変更あり (C) * 機密性への影響 (C): 高 (H) * 完全性への影響 (I): 高 (H) * 可用性への影響 (A): 高 (H) * CVSS v3.1スコア 9.8 の詳細: * 攻撃ベクトル (AV): ネットワーク (N) * 攻撃の複雑さ (AC): 低 (L) * 必要な権限 (PR): なし (N) * ユーザーインタラクション (UI): なし (N) * スコープ (S): 変更なし (U) * 機密性への影響 (C): 高 (H) * 完全性への影響 (I): 高 (H) * 可用性への影響 (A): 高 (H)
この脆弱性は、CISAの「既知の悪用された脆弱性（KEV）」リストに2025年5月2日に追加されており、2025年2月から4月の間に実際に悪用されたことが確認されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
特定のOSバージョンに関する情報は公開されていません。Yii PHPフレームワークに依存するアプリケーションに影響します。
2.2 影響を受ける設定
yii\web\JsonParserが有効になっている場合など、JSONオブジェクトで__classパラメータを含むビヘイビアをコンポーネントにアタッチすることを許可するアプリケーションが影響を受けます。$model->load($_POST)や$model->setAttributes($_POST)のようなメソッドを使用するコードが関連する可能性があります。3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策
4.2 暫定回避策（緩和策）
__class配列キーによって定義されたビヘイビアの使用を監査し、ビヘイビアのアタッチメントにおける動的または信頼できない入力を避けてください。__class、as、onのようなビヘイビアキーをブロックするカスタムルールを持つWebアプリケーションファイアウォール（WAF）を導入してください。__setメソッドをオーバーライドし、プロパティ名がasで始まり、値が配列である場合に例外をスローするように実装してください。asマジックビヘイビアが不要な場合は無効にしてください。参照したサイト
__classArray Key - GitLab Advisory Database