{"id":116414,"date":"2024-06-07T12:05:45","date_gmt":"2024-06-07T10:05:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-php-pozvolyayushhaya-vypolnit-kod-pri-rabote-v-rezhime-cgi"},"modified":"2024-06-07T12:05:45","modified_gmt":"2024-06-07T10:05:45","slug":"uyazvimost-v-php-pozvolyayushhaya-vypolnit-kod-pri-rabote-v-rezhime-cgi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-php-pozvolyayushhaya-vypolnit-kod-pri-rabote-v-rezhime-cgi","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans PHP permettant d'ex\u00e9cuter du code en mode CGI.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9tect\u00e9e dans PHP (CVE-2024-4577), permettant l'ex\u00e9cution de code arbitraire sur le serveur ou l'acc\u00e8s au code source des scripts PHP lorsqu'ils sont ex\u00e9cut\u00e9s en mode CGI sur la plateforme Windows (les configurations avec mod_php, php-fpm et FastCGI ne sont pas vuln\u00e9rables). Le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 dans les versions PHP 8.3.8, 8.2.20 et 8.1.29.<\/p>\n
La vuln\u00e9rabilit\u00e9 est une variante d'un probl\u00e8me corrig\u00e9 en 2012, CVE-2012-1823, pour lequel les protections mises en place se sont av\u00e9r\u00e9es insuffisantes pour bloquer l'attaque sur la plateforme Windows. La m\u00e9thode d'attaque consiste \u00e0 substituer un argument de ligne de commande lors du lancement de l'interpr\u00e9teur PHP en manipulant les param\u00e8tres de la demande envoy\u00e9e au script PHP. <\/p>\n
Dans la vieille vuln\u00e9rabilit\u00e9 CVE-2012-1823, il suffisait d'indiquer des options de ligne de commande au lieu de param\u00e8tres de requ\u00eate, par exemple, \u00ab http:\/\/localhost\/index.php?-s \u00bb pour afficher le code source du script. La nouvelle vuln\u00e9rabilit\u00e9 repose sur le fait que la plateforme Windows effectue une conversion automatique des caract\u00e8res, permettant ainsi de contourner la protection pr\u00e9c\u00e9demment ajout\u00e9e en indiquant des caract\u00e8res pr\u00e9sents dans certaines encodages et remplac\u00e9s par le caract\u00e8re \u00ab - \u00bb (par exemple, http:\/\/localhost\/index.php?s). <\/p>\n
La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 confirm\u00e9e dans des configurations avec des locales pour le chinois traditionnel (cp950), le chinois simplifi\u00e9 (cp936) et japonais (cp932), mais peut \u00e9galement se manifester avec d'autres locales. Le probl\u00e8me appara\u00eet par d\u00e9faut dans l'ensemble XAMPP (Apache + MariaDB + PHP + Perl), ainsi que dans toutes les configurations Apache o\u00f9 php-cgi est configur\u00e9 comme gestionnaire de scripts CGI via la configuration \n\u2018Action cgi-script \u00ab \/cgi-bin\/php-cgi.exe \u00bb\u2019 ou \u2018Action application\/x-httpd-php-cgi \u00ab \/php-cgi\/php-cgi.exe \u00bb\u2019, ou lors du placement direct de l\u2019interpr\u00e9teur php dans \u00ab \/cgi-bin \u00bb et dans tout autre r\u00e9pertoire o\u00f9 l\u2019ex\u00e9cution des scripts CGI est autoris\u00e9e via la directive ScriptAlias.<\/p>\n
De plus, les mises \u00e0 jour PHP 8.3.8, 8.2.20 et 8.1.29 corrigent trois autres vuln\u00e9rabilit\u00e9s : <\/p>\n
\n
CVE-2024-5458 \u2014 possibilit\u00e9 de contournement du filtre \n FILTER_VALIDATE_URL, utilis\u00e9 lors de l'appel de la fonction filter_var.<\/p>\n
CVE-2024-5585 \u2014 vecteur alternatif d'attaque sur la vuln\u00e9rabilit\u00e9 CVE-2024-1874, permettant de contourner la protection pr\u00e9c\u00e9demment ajout\u00e9e et d'effectuer une substitution de commandes lors de l'appel de fichiers bat et cmd via la fonction proc_open sur la plateforme Windows (vuln\u00e9rabilit\u00e9 BatBadBut).\n
La fonction openssl_private_decrypt est vuln\u00e9rable \u00e0 l'attaque Marvin.\n<\/ul>\n