Появиха се подробности за нов критичен недостатък в сигурността на PHP, който при определени обстоятелства може да бъде използван за постигане на отдалечено изпълнение на код.

Уязвимостта, проследена като CVE-2024-4577, е описана като уязвимост при инжектиране на CGI аргументи, засягаща всички версии на PHP, инсталирани в операционната система Windows.

Според изследователя по сигурността DEVCORE недостатъкът дава възможност за заобикаляне на защитите, въведени за друг недостатък в сигурността – CVE-2012-1823.

„Докато е внедрявал PHP, екипът не е забелязал функцията Best-Fit за преобразуване на кодирането в рамките на операционната система Windows“, казва изследователят по сигурността Ориндж Цай.

„Този пропуск позволява на неавтентифицирани нападатели да заобиколят предишната защита на CVE-2012-1823 чрез определени последователности от символи. Чрез атаката за инжектиране на аргументи може да се изпълни произволен код на отдалечени PHP сървъри.“

След отговорното оповестяване на 7 май 2024 г. поправка на уязвимостта е налична във версиите на PHP 8.3.8, 8.2.20 и 8.1.29.

DEVCORE предупреди, че всички инсталации на XAMPP в Windows са уязвими по подразбиране, когато са конфигурирани да използват локалите за традиционен китайски език, опростен китайски език или японски език.

Тайванската компания също така препоръчва на администраторите да се откажат изцяло от остарелия PHP CGI и да изберат по-сигурно решение като Mod-PHP, FastCGI или PHP-FPM.

„Тази уязвимост е изключително проста, но именно това я прави и интересна“, каза Цай. „Кой би си помислил, че една кръпка, която е била прегледана и доказано сигурна през последните 12 години, може да бъде заобиколена поради незначителна функция на Windows?“

В публикация, споделена в X, фондация Shadowserver заяви, че вече е открила опити за експлоатация, включващи дефекта, срещу своите сървъри honeypot в рамките на 24 часа след публичното оповестяване.

watchTowr Labs заяви, че е успяла да разработи експлойт за CVE-2024-4577 и да постигне отдалечено изпълнение на код, поради което е наложително потребителите да действат бързо, за да приложат най-новите кръпки.

„Отвратителен бъг с много проста възможност за експлойт“, каза изследователят по сигурността Ализ Хамънд.

„Тези, които работят в засегната конфигурация под една от засегнатите локации – китайска (опростена или традиционна) или японска – се призовават да направят това възможно най-бързо, тъй като грешката има голям шанс да бъде експлоатирана масово поради ниската сложност на експлойта.“