Уязвимост в PHP, позволяваща изпълнение на код в режим CGI.

В PHP е открита уязвимост (CVE-2024-4577), която позволява изпълнението на собствен код на сървъра или прегледа на изходния код на PHP-скрипта при използване на PHP в режим CGI на платформата Windows (конфигурации с mod_php, php-fpm и FastCGI не са уязвими). Проблемът е отстранен в версиите PHP 8.3.8, 8.2.20 и 8.1.29.

Уязвимостта е специален случай на поправената през 2012 година уязвимост CVE-2012-1823, за която добавената защита се оказа недостатъчна, за да блокира атаките на платформата Windows. Методът на атаката се състои в възможността за подмяна на аргумента на командния ред при стартиране на интерпретатора PHP чрез манипулация с параметрите на запитването за PHP-скрипта.

В старата уязвимост CVE-2012-1823 беше достатъчно да се зададат опции на командния ред вместо параметри на заявката, като например „http://localhost/index.php?-s“ за показване на изходния код на скрипта. Новата уязвимост се основава на факта, че платформата Windows осигурява автоматично преобразуване на символи, което позволява да се заобиколи вече добавената защита, задавайки символи, присъстващи в някои кодировки и заменяни със символа „-“ (например, http://localhost/index.php?s).

Уязвимостта е потвърдена в конфигурации с локали за традиционен китайски (cp950), опростен китайски (cp936) и японски (cp932) език, но не е изключено проявлението й и с други локали. Проблемът се проявява в конфигурацията по подразбиране в набора XAMPP (Apache + MariaDB + PHP + Perl), а също така и в каквито и да било конфигурации на Apache, в които php-cgi е зададен като обработчик на CGI-скриптове чрез настройката
‘Action cgi-script «/cgi-bin/php-cgi.exe»‘ или ‘Action application/x-httpd-php-cgi «/php-cgi/php-cgi.exe»‘, или при директно разполагане на интерпретатора php в «/cgi-bin» и в каквито и да било други директории, в които е разрешено изпълнението на CGI-скриптове чрез директива ScriptAlias.

Освен това в обновленията на PHP 8.3.8, 8.2.20 и 8.1.29 са отстранени още три уязвимости:

• CVE-2024-5458 — възможност за заобикаляне на филтъра
  FILTER_VALIDATE_URL, използван при извикването на функцията filter_var.
• CVE-2024-5585 — алтернативен вектор на атака на уязвимостта CVE-2024-1874, позволяваща заобикаляне на предходно добавената защита и извършване на подмяна на команди при извикването на bat- и cmd-файлове чрез функцията proc_open на платформата Windows (уязвимост BatBadBut).
• Податливост на функцията openssl_private_decrypt на атаката Marvin.

Източник: opennet.ru