استغلال CVE-2024-4577 PoC

الوصف

يحتوي هذا المستودع على استغلال إثبات المفهوم (PoC) لثغرة CVE-2024-4577، وهي ثغرة حرجة تؤثر على جميع إصدارات PHP التي تعمل على نظام Windows. تسمح هذه الثغرة للمهاجمين بتنفيذ تعليمات برمجية عشوائية عن بُعد. كما تؤثر هذه العيوب على بيئة التطوير XAMPP المثبتة على أنظمة Windows. لاحظ الباحثون عمليات مسح نشطة تستهدف هذه الثغرة، مما يجعل من الضروري للمؤسسات المتأثرة تحديث تثبيتات PHP لديها على الفور.

تفاصيل الثغرة

تنبع الثغرة من خلل حقن الوسائط (argument injection) ناتج عن إصلاح غير مكتمل لثغرة منفصلة تعود إلى عام 2012 (CVE-2012-1823). أغفل فريق تطوير PHP ميزة Best-Fit الخاصة بتحويل الترميز داخل نظام التشغيل Windows، مما سمح للمهاجمين غير المصادق عليهم بتجاوز الحمايات السابقة. هذا الإغفال يمكّن المهاجمين من تنفيذ تعليمات برمجية عشوائية على خوادم PHP البعيدة عبر هجوم حقن الوسائط.

سيناريوهات الاستغلال

1. PHP يعمل في وضع CGI: يمكن للمهاجمين استغلال هذه الثغرة مباشرةً عندما يكون PHP مُهيأً في وضع CGI، وهو شائع الاستخدام في إعدادات خوادم الويب.
2. ملف PHP التنفيذي المكشوف في دليل CGI (XAMPP): الوضع الافتراضي لـ XAMPP، وهي بيئة تطوير PHP شائعة، يعرض ملف PHP التنفيذي في دليل CGI، مما يجعله عرضة للاستغلال.

الاستخدام

1. ثبّت الأداة باستخدام الأمر:

   root@kitploit:~

   go install -v github.com/zomasec/CVE-2024-4577/cmd/CVE-2024-4577
   

2. استخدم الأداة مع العلامات التالية:

   root@kitploit:~

   CVE-2024-4577 -l/-d <hostsFile>/<host> -c <concurrency> -timeout <timeout>
   

   • -l: ملف يحتوي على قائمة بالعناوين (hosts) لفحصها.
   • -d: عنوان واحد لفحصه.
   • -c: عدد عمليات الفحص المتزامنة (الافتراضي هو 10).
   • -timeout: مهلة الطلب بالثواني (الافتراضي هو 5).

   مثال:

   root@kitploit:~

   CVE-2024-4577 -l hosts.txt -c 20 -timeout 10
   

3. يمكنك استخدام هذه الدروكس : Hunter:header.server="PHP" FOFA: server="PHP" SHODAN: server: PHP os:Windows

---

الموارد

1. مدونة Tenable - إثبات المفهوم متاح لثغرة حقن الوسائط في PHP CGI CVE-2024-4577
2. Duo Decipher - ثغرة PHP الحرجة CVE-2024-4577 تم إصلاحها