La vulnerabilidad existe dentro de la implementación CGI de PHP (php-cgi).

Normalmente, los parámetros de consulta HTTP están destinados a ser pasados a los scripts PHP como entrada del usuario.

Sin embargo, PHP procesa incorrectamente cadenas de consulta especialmente diseñadas que no contienen un signo igual (=).

En lugar de tratar la cadena de consulta puramente como datos de usuario, PHP interpreta erróneamente partes de ella como argumentos de línea de comandos pasados directamente al ejecutable de PHP.

Debido a que PHP soporta numerosos interruptores de línea de comandos (como -d), un atacante puede sobrescribir las opciones de configuración del runtime de PHP durante el procesamiento de la solicitud.

Esto permite al atacante:

• Habilitar directivas peligrosas de PHP
• Deshabilitar restricciones de seguridad
• Anteponer automáticamente código PHP controlado por el atacante
• Ejecutar comandos PHP arbitrarios
• Obtener control total sobre el proceso del servidor web

La causa raíz es el manejo inadecuado de php_getopt() dentro de:

Específicamente, PHP no logró ignorar correctamente el análisis de línea de comandos al procesar cadenas de consulta maliciosas que carecen de un signo igual (=). :contentReference[oaicite:1]{index=1}

Causa Raíz

El ejecutable CGI acepta parámetros de línea de comandos.

Por ejemplo:

Normalmente, estos parámetros solo deberían originarse desde el sistema operativo.

En cambio, PHP permitió incorrectamente que las solicitudes HTTP inyectaran esos parámetros a través de URLs especialmente diseñadas.

El atacante podía, por tanto, manipular la configuración del runtime de PHP antes de que el script objetivo se ejecutara.

Esto transformó efectivamente una simple solicitud HTTP en una ejecución de línea de comandos contra php-cgi.

Versiones Afectadas

Las siguientes versiones de PHP son vulnerables:

Solo las instalaciones que utilizan modo CGI (php-cgi) están afectadas.

PHP ejecutándose como:

• Módulo de Apache (mod_php)
• PHP-FPM
• Implementaciones de FastCGI que no son vulnerables a este defecto de análisis

generalmente no están afectados por CVE-2012-1823 en sí. :contentReference[oaicite:2]{index=2}

Requisitos del Ataque

Un atacante solo necesita:

• Conectividad de red con el objetivo
• PHP ejecutándose como CGI
• Sin autenticación
• Sin cuenta de usuario válida
• Sin interacción de una víctima

La vulnerabilidad es totalmente explotable de forma remota.

Proceso de Explotación

El ataque típicamente sigue estas etapas:

1. Descubrir el endpoint CGI de PHP.
2. Enviar una solicitud HTTP especialmente diseñada.
3. Inyectar argumentos de línea de comandos de PHP.
4. Sobrescribir la configuración del runtime de PHP.
5. Ejecutar código PHP controlado por el atacante.
6. Obtener Ejecución Remota de Código.

Una vez obtenida la ejecución de código, los atacantes comúnmente:

• Suben webshells
• Ejecutan comandos del sistema
• Leen archivos sensibles
• Vuelcan bases de datos
• Instalan malware
• Establecen persistencia
• Se mueven lateralmente hacia redes internas

Impacto

Una explotación exitosa resulta en el compromiso total de la aplicación PHP.

Las consecuencias potenciales incluyen:

• Ejecución Remota de Código
• Compromiso total del sitio web
• Robo de bases de datos
• Divulgación de credenciales
• Despliegue de malware
• Instalación de webshells
• Toma del servidor
• Movimiento lateral
• Escalada de privilegios (dependiendo de la configuración del servidor)

Si PHP se ejecuta con privilegios elevados, también puede ser posible el compromiso a nivel de sistema.

CVSS v3.1

Por Qué Esta Vulnerabilidad Fue Tan Peligrosa

Varias características hicieron que CVE-2012-1823 fuera particularmente impactante:

• Explotable a través de HTTP.
• No requiere autenticación.
• Explotación fiable.
• Vulnerabilidad a nivel del intérprete.
• Afecta a todas las aplicaciones PHP alojadas.
• El código de explotación público estuvo disponible poco después de la divulgación.
• Compatible con marcos de pruebas de penetración.
• Ampliamente utilizado en campañas automatizadas de escaneo de Internet.

Su combinación de facilidad de explotación e impacto severo condujo a extensos ataques en el mundo real y a su inclusión en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA. :contentReference[oaicite:4]{index=4}

Detección

Los administradores deben verificar:

• La versión de PHP
• El modo de despliegue
• La presencia de php-cgi
• La configuración del servidor web

Los indicadores incluyen:

• Ejecutable CGI expuesto a través de HTTP
• Directivas inesperadas del runtime de PHP
• Solicitudes sospechosas que contienen interruptores de línea de comandos codificados
• Solicitudes que carecen de '=' en las cadenas de consulta

Escáneres de seguridad como Nuclei, Nessus, OpenVAS y módulos de Metasploit pueden detectar configuraciones vulnerables. :contentReference[oaicite:5]{index=5}

Mitigación

Las mitigaciones recomendadas incluyen:

• Actualizar PHP a:
  • 5.3.12 o posterior
  • 5.4.2 o posterior
• Deshabilitar el modo CGI cuando sea posible.
• Migrar a PHP-FPM.
• Restringir el acceso a los ejecutables php-cgi.
• Aplicar parches de seguridad del proveedor.
• Implementar un Firewall de Aplicaciones Web (WAF) capaz de bloquear intentos maliciosos de inyección de argumentos CGI.

Cronología

Aviso Legal

Este repositorio está destinado exclusivamente a fines educativos, investigación de seguridad, análisis de vulnerabilidades y pruebas defensivas. Cualquier información contenida aquí solo debe utilizarse en sistemas para los cuales tenga autorización explícita. La explotación no autorizada de sistemas vulnerables es ilegal y poco ética.