CVE-2024-4577 - Remote-Codeausführung durch PHP-CGI-Argumentinjektion (RCE)

In bestimmten PHP-Versionen (8.1.* vor 8.1.29, 8.2.* vor 8.2.20 und 8.3.* vor 8.3.8) besteht eine kritische Schwachstelle bei der Verwendung von PHP mit Apache und PHP-CGI auf Windows. Wenn das System für die Verwendung bestimmter Codepages konfiguriert ist, kann das "Best-Fit"-Verhalten von Windows Zeichen in Befehlszeilen ersetzen, die an Win32-API-Funktionen übergeben werden. Dieses Verhalten kann dazu führen, dass das PHP-CGI-Modul diese Zeichen als PHP-Optionen fehlinterpretiert, was einem Angreifer möglicherweise ermöglicht, Optionen an die PHP-Binärdatei zu übergeben. Dies könnte zur Offenlegung von Skriptquellcode oder zur Ausführung beliebigen PHP-Codes auf dem Server führen.

Proof of Concept (PoC)

Ich habe einen Proof-of-Concept-Exploit (PoC) für diese Schwachstelle entwickelt, um deren potenzielle Auswirkungen zu demonstrieren.

Haftungsausschluss: Dieser PoC dient zu Bildungszwecken und zur Unterstützung der Entwicklung von Sicherheitsmaßnahmen. Er sollte nicht für böswillige Zwecke verwendet werden. Nutzen Sie ihn verantwortungsbewusst und nur auf Systemen, auf denen Sie ausdrücklich die Erlaubnis dazu haben.