CVE-2024-4577 PoC-Exploit

Beschreibung

Dieses Repository enthält einen Proof-of-Concept (PoC) Exploit für CVE-2024-4577, eine kritische Sicherheitslücke, die alle Versionen von PHP betrifft, die unter Windows laufen. Die Schwachstelle ermöglicht es Angreifern, beliebigen Code aus der Ferne auszuführen. Der Fehler wirkt sich auch auf die XAMPP-Entwicklungsumgebung aus, die auf Windows-Systemen installiert ist. Forscher haben eine aktive Suche nach dieser Schwachstelle beobachtet, weshalb betroffene Organisationen ihre PHP-Installationen umgehend aktualisieren sollten.

Details zur Schwachstelle

Die Schwachstelle beruht auf einem Argument-Injection-Fehler, der auf einen unvollständigen Fix für eine separate, aus dem Jahr 2012 stammende Sicherheitslücke (CVE-2012-1823) zurückzuführen ist. Das PHP-Entwicklungsteam übersah die Best-Fit-Funktion der Zeichenkodierungsumwandlung im Windows-Betriebssystem, sodass nicht authentifizierte Angreifer bisherige Schutzmaßnahmen umgehen können. Dieses Versehen ermöglicht es Angreifern, durch einen Argument-Injection-Angriff beliebigen Code auf entfernten PHP-Servern auszuführen.

Angriffsszenarien

1. PHP im CGI-Modus: Angreifer können diese Schwachstelle direkt ausnutzen, wenn PHP im CGI-Modus konfiguriert ist, was bei Webserver-Setups üblich ist.
2. Freiliegende PHP-Binärdatei im CGI-Verzeichnis (XAMPP): Der Standardmodus von XAMPP, einer beliebten PHP-Entwicklungsumgebung, legt die PHP-Binärdatei im CGI-Verzeichnis offen, was die Ausnutzung ermöglicht.

Nutzung

1. Installieren Sie das Tool mit folgendem Befehl:

   root@kitploit:~

   go install -v github.com/zomasec/CVE-2024-4577/cmd/CVE-2024-4577
   

2. Verwenden Sie das Tool mit den folgenden Flags:

   root@kitploit:~

   CVE-2024-4577 -l/-d <hostsFile>/<host> -c <concurrency> -timeout <timeout>
   

   • -l: Datei, die eine Liste der zu scannenden Hosts enthält.
   • -d: Ein einzelner Host, der gescannt werden soll.
   • -c: Anzahl der gleichzeitigen Scans (Standard: 10).
   • -timeout: Request-Timeout in Sekunden (Standard: 5).

   Beispiel:

   root@kitploit:~

   CVE-2024-4577 -l hosts.txt -c 20 -timeout 10
   

3. Sie können diese Dorks verwenden: Hunter: header.server="PHP" FOFA: server="PHP" SHODAN: server: PHP os:Windows

---

Ressourcen

1. Tenable Blog - Proof-of-Concept für PHP CGI Argument Injection Schwachstelle CVE-2024-4577 verfügbar
2. Duo Decipher - Kritischer PHP-Fehler CVE-2024-4577 behoben