Pimcoreに認証後RCE、field name経由でサーバー侵害

要約

Pimcoreは、DataObjectのclass-definition field nameを通じて認証済みユーザーが任意のPHPを実行できる脆弱性を抱える。objects権限だけで不正なクラス定義をインポートでき、生成PHPクラスへコードを注入してRCEに至る。注入コードは対象オブジェクトの読み込み時に実行され、データベース資格情報や秘密情報、ホストのファイルシステムとOSへ到達できる。同じ未検証のfield nameはALTER TABLEにも連結され、SQLインジェクションでスキーマを変更できる。RCEのsinkは実行確認済みだが、ライブ環境でのエンドツーエンド悪用は未確認で、深刻度はCritical 9.9、Scope解釈次第でもHigh 8.8となる。