{"id":116414,"date":"2024-06-07T12:05:45","date_gmt":"2024-06-07T10:05:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-php-pozvolyayushhaya-vypolnit-kod-pri-rabote-v-rezhime-cgi"},"modified":"2024-06-07T12:05:45","modified_gmt":"2024-06-07T10:05:45","slug":"uyazvimost-v-php-pozvolyayushhaya-vypolnit-kod-pri-rabote-v-rezhime-cgi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-php-pozvolyayushhaya-vypolnit-kod-pri-rabote-v-rezhime-cgi","title":{"rendered":"Eine Schwachstelle in PHP, die die Ausf\u00fchrung von Code im CGI-Modus erm\u00f6glicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In PHP wurde eine Schwachstelle (CVE-2024-4577) entdeckt, die die Ausf\u00fchrung eigenen Codes auf dem Server oder die Einsicht in den Quellcode von PHP-Skripten erm\u00f6glicht, wenn PHP im CGI-Modus auf der Windows-Plattform verwendet wird (Konfigurationen mit mod_php, php-fpm und FastCGI sind nicht betroffen). Das Problem wurde in den Versionen PHP 8.3.8, 8.2.20 und 8.1.29 behoben.<\/p>\n
Die Schwachstelle ist ein Sonderfall eines Problems, das 2012 behoben wurde (CVE-2012-1823), und der Schutz, der zu diesem Zweck hinzugef\u00fcgt wurde, war nicht ausreichend, um einen Angriff auf der Windows-Plattform zu verhindern. Die Angriffsart besteht darin, das Argument der Befehlszeile beim Start des PHP-Interpreters durch Manipulation von Anfrageparametern an ein PHP-Skript einzuschleusen. <\/p>\n
Bei der alten Schwachstelle CVE-2012-1823 gen\u00fcgte es, Befehlszeilenoptionen anstelle von Anfrageparametern anzugeben, z. B. \u201ehttp:\/\/localhost\/index.php?-s\u201c um den Quellcode des Skripts anzuzeigen. Die neue Schwachstelle basiert darauf, dass die Windows-Plattform die automatische Umwandlung von Zeichen vornimmt, was es erm\u00f6glicht, Zeichen anzugeben, die in bestimmten Kodierungen vorhanden sind und durch das Zeichen \u201e-\u201e (z. B. http:\/\/localhost\/index.php?s) ersetzt werden. <\/p>\n
Die Schwachstelle wurde in Konfigurationen mit Lokalisierungen f\u00fcr Traditionelles Chinesisch (cp950), Vereinfachtes Chinesisch (cp936) und Japanisch (cp932) best\u00e4tigt, jedoch ist ihr Auftreten auch bei anderen Lokalisierungen nicht ausgeschlossen. Das Problem tritt in der Standardkonfiguration des XAMPP-Pakets (Apache + MariaDB + PHP + Perl) sowie in allen Apache-Konfigurationen auf, in denen php-cgi als Handler f\u00fcr CGI-Skripte \u00fcber die Konfiguration eingestellt ist. \n\u2018Action cgi-script \u201a\/cgi-bin\/php-cgi.exe\u2018 oder \u201aAction application\/x-httpd-php-cgi \u201a\/php-cgi\/php-cgi.exe\u2018, oder bei direkter Platzierung des php-Interpreters in \u201a\/cgi-bin\u2018 und in allen anderen Verzeichnissen, in denen die Ausf\u00fchrung von CGI-Skripten \u00fcber die Direktive ScriptAlias erlaubt ist.<\/p>\n
Dar\u00fcber hinaus wurden in den Updates PHP 8.3.8, 8.2.20 und 8.1.29 noch drei weitere Schwachstellen behoben: <\/p>\n
\n
CVE-2024-5458 \u2014 M\u00f6glichkeit der Umgehung der Filterung \n FILTER_VALIDATE_URL, der bei der Verwendung der Funktion filter_var aufgerufen wird.<\/p>\n
CVE-2024-5585 \u2014 alternativer Angriffsvektor f\u00fcr die Schwachstelle CVE-2024-1874, der es erm\u00f6glicht, den zuvor hinzugef\u00fcgten Schutz zu umgehen und Befehlsersetzungen bei der Aufruf von bat- und cmd-Dateien \u00fcber die Funktion proc_open auf der Windows-Plattform durchzuf\u00fchren (Schwachstelle BatBadBut).\n
Die Funktion openssl_private_decrypt ist anf\u00e4llig f\u00fcr Angriffe von Marvin.\n<\/ul>\n