En sårbarhet i PHP som möjliggör kodkörning i CGI-läge.

I PHP har en sårbarhet (CVE-2024-4577) som gör det möjligt att exekvera egen kod på servern eller att visa källkoden för PHP-skriptet om PHP körs i CGI-läge på Windows-plattformen (konfigurationer med mod_php, php-fpm och FastCGI är inte sårbara). Problemet har åtgärdats i versionerna PHP 8.3.8, 8.2.20 och 8.1.29.

Sårbarheten är ett specialfall av den åtgärdade problemet CVE-2012-1823 från 2012, för vilken den skyddsåtgärd som lades till visade sig vara otillräcklig för att blockera attacker på Windows-plattformen. Attackmetoden innebär att det är möjligt att substituera kommandoradsargument när PHP-tolkaren startas genom att manipulera med parametrarna i begäran till PHP-skriptet.

I den gamla sårbarheten CVE-2012-1823 räckte det med att ange kommandoradsalternativ istället för begärningsparametrar, till exempel "http://localhost/index.php?-s" för att visa källkoden för skriptet. Den nya sårbarheten bygger på att Windows-plattformen automatiskt konverterar tecken, vilket gör att man kan ange tecken som finns i vissa kodningar och som ersätts med tecknet "-" (till exempel http://localhost/index.php?s) för att kringgå det tidigare tillagda skyddet.

Sårbarheten har bekräftats i konfigurationer med lokaler för traditionell kinesiska (cp950), förenklad kinesiska (cp936) och japanska (cp932), men det är inte uteslutet att den kan uppträda med andra lokaler. Problemet manifesterar sig i standardkonfigurationen i XAMPP-paketet (Apache + MariaDB + PHP + Perl), samt i alla Apache-konfigurationer där php-cgi ställs in som CGI-skriptshanterare genom inställningen
‘Action cgi-script "/cgi-bin/php-cgi.exe"‘ eller ‘Action application/x-httpd-php-cgi "/php-cgi/php-cgi.exe"‘, eller vid direkt placering av tolken php i "cgi-bin" och andra kataloger där körning av CGI-skript tillåts genom direktivet ScriptAlias.

Dessutom har även tre andra sårbarheter åtgärdats i uppdateringarna PHP 8.3.8, 8.2.20 och 8.1.29:

• CVE-2024-5458 — möjlighet att kringgå filtret
  FILTER_VALIDATE_URL, som används vid anrop av funktionen filter_var.
• CVE-2024-5585 — alternativ angreppsvektor för sårbarheten CVE-2024-1874, som möjliggör att kringgå det tidigare tillagda skyddet och genomföra kommandoinjektion vid anrop av bat- och cmd-filer genom funktionen proc_open på Windows-plattformen (sårbarheten BatBadBut).
• Sårbarhet i funktionen openssl_private_decrypt för attacken Marvin.

Källa: opennet.ru