Уязвимост в PHP, позволяваща изпълнение на код в режим CGI.

В PHP е открита уязвимост (CVE-2024-4577), която позволява изпълнението на собствен код на сървъра или прегледа на изходния код на PHP-скрипта при използване на PHP в режим CGI на платформата Windows (конфигурации с mod_php, php-fpm и FastCGI не са уязвими). Проблемът е отстранен в версиите PHP 8.3.8, 8.2.20 и 8.1.29.

Уязвимостта е специален случай на поправената през 2012 година уязвимост CVE-2012-1823, за която добавената защита се оказа недостатъчна, за да блокира атаките на платформата Windows. Методът на атаката се състои в възможността за подмяна на аргумента на командния ред при стартиране на интерпретатора PHP чрез манипулация с параметрите на запитването за PHP-скрипта.

В старой уязвимости CVE-2012-1823 для эксплуатации достаточно было указать опции командной строки вместо параметров запроса, например, «http://localhost/index.php?-s» для показа исходного кода скрипта. Новая уязвимость основывается на том, что платформа Windows обеспечивает автоматическое преобразование символов, что позволяет для обхода ранее добавленной защиты указывать символы, присутствующие в некоторых кодировках и заменяемые на символ «-» (например, http://localhost/index.php?%ads).

Уязвимостта е потвърдена в конфигурации с локали за традиционен китайски (cp950), опростен китайски (cp936) и японски (cp932) език, но не е изключено проявлението й и с други локали. Проблемът се проявява в конфигурацията по подразбиране в набора XAMPP (Apache + MariaDB + PHP + Perl), а също така и в каквито и да било конфигурации на Apache, в които php-cgi е зададен като обработчик на CGI-скриптове чрез настройката
‘Action cgi-script «/cgi-bin/php-cgi.exe»‘ или ‘Action application/x-httpd-php-cgi «/php-cgi/php-cgi.exe»‘, или при директно разполагане на интерпретатора php в «/cgi-bin» и в каквито и да било други директории, в които е разрешено изпълнението на CGI-скриптове чрез директива ScriptAlias.

Освен това в обновленията на PHP 8.3.8, 8.2.20 и 8.1.29 са отстранени още три уязвимости:

• CVE-2024-5458 — възможност за заобикаляне на филтъра
  FILTER_VALIDATE_URL, използван при извикването на функцията filter_var.
• CVE-2024-5585 — алтернативен вектор на атака на уязвимостта CVE-2024-1874, позволяваща заобикаляне на предходно добавената защита и извършване на подмяна на команди при извикването на bat- и cmd-файлове чрез функцията proc_open на платформата Windows (уязвимост BatBadBut).
• Податливост на функцията openssl_private_decrypt на атаката Marvin.

Източник: opennet.ru