{"id":116414,"date":"2024-06-07T12:05:45","date_gmt":"2024-06-07T10:05:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-php-pozvolyayushhaya-vypolnit-kod-pri-rabote-v-rezhime-cgi"},"modified":"2024-06-07T12:05:45","modified_gmt":"2024-06-07T10:05:45","slug":"uyazvimost-v-php-pozvolyayushhaya-vypolnit-kod-pri-rabote-v-rezhime-cgi","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimost-v-php-pozvolyayushhaya-vypolnit-kod-pri-rabote-v-rezhime-cgi","title":{"rendered":"Vulnerability in PHP allowing code execution in CGI mode","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

W PHP zidentyfikowano luk\u0119 (CVE-2024-4577), kt\u00f3ra umo\u017cliwia wykonanie w\u0142asnego kodu na serwerze lub przegl\u0105danie kodu \u017ar\u00f3d\u0142owego skryptu PHP w przypadku u\u017cywania PHP w trybie CGI na platformie Windows (konfiguracje z mod_php, php-fpm i FastCGI nie s\u0105 podatne na t\u0119 luk\u0119). Problem zosta\u0142 rozwi\u0105zany w wersjach PHP 8.3.8, 8.2.20 i 8.1.29.<\/p>\n

Luka jest szczeg\u00f3lnym przypadkiem naprawionej w 2012 roku luki CVE-2012-1823, dla kt\u00f3rej nie wystarczy\u0142o wprowadzenie dodatkowej ochrony w celu zablokowania ataku na platformie Windows. Metoda ataku polega na mo\u017cliwo\u015bci podstawienia argumentu wiersza polece\u0144 podczas uruchamiania interpreter PHP poprzez manipulacj\u0119 parametrami zapytania do skryptu PHP. <\/p>\n

W starej podatno\u015bci CVE-2012-1823, aby j\u0105 wykorzysta\u0107, wystarczy\u0142o poda\u0107 opcje wiersza polece\u0144 zamiast parametr\u00f3w \u017c\u0105dania, na przyk\u0142ad, «http:\/\/localhost\/index.php?-s» aby pokaza\u0107 kod \u017ar\u00f3d\u0142owy skryptu. Nowa podatno\u015b\u0107 opiera si\u0119 na tym, \u017ce platforma Windows automatycznie przekszta\u0142ca znaki, co pozwala na obej\u015bcie wcze\u015bniej dodanej ochrony, wskazuj\u0105c znaki obecne w niekt\u00f3rych kodowaniach, kt\u00f3re s\u0105 zast\u0119powane znakiem «-» (na przyk\u0142ad http:\/\/localhost\/index.php?s). <\/p>\n

Luka zosta\u0142a potwierdzona w konfiguracjach z lokalizacjami dla tradycyjnego chi\u0144skiego (cp950), uproszczonego chi\u0144skiego (cp936) i japo\u0144skiego (cp932), ale nie wyklucza si\u0119 r\u00f3wnie\u017c jej wyst\u0105pienia w innych lokalizacjach. Problem pojawia si\u0119 w konfiguracji domy\u015blnej zestawu XAMPP (Apache + MariaDB + PHP + Perl), a tak\u017ce w dowolnych konfiguracjach Apache, w kt\u00f3rych php-cgi jest ustawione jako handler skrypt\u00f3w CGI poprzez konfiguracj\u0119 \u2018Action cgi-script \"\/cgi-bin\/php-cgi.exe\"\u2019 lub \u2018Action application\/x-httpd-php-cgi \"\/php-cgi\/php-cgi.exe\"\u2019, lub przy bezpo\u015brednim umieszczeniu interpretera PHP w \"\/cgi-bin\" i innych katalogach, w kt\u00f3rych dozwolone jest wykonywanie skrypt\u00f3w CGI poprzez dyrektyw\u0119 ScriptAlias.
\n‘Action cgi-script «\/cgi-bin\/php-cgi.exe»‘ lub ‘Action application\/x-httpd-php-cgi «\/php-cgi\/php-cgi.exe»‘, lub przy bezpo\u015brednim umieszczeniu interpretatora php w «\/cgi-bin» oraz w innych katalogach, gdzie dozwolone jest wykonywanie skrypt\u00f3w CGI za pomoc\u0105 dyrektywy ScriptAlias.<\/p>\n

CVE-2024-5458 \u2014 mo\u017cliwo\u015b\u0107 obej\u015bcia filtru FILTER_VALIDATE_URL, u\u017cywanego podczas wywo\u0142ywania funkcji filter_var. <\/p>\n