CVE-2024-4577-LetsDefend-walkthrough

Guía de Respuesta a Incidentes: Mitigación de un Ataque de Día Cero (CVE-2024-4577)

[Informe de LetsDefend] PHP-CGI (CVE-2024–4577)

Escenario: Nuestro sistema de detección de intrusiones (IDS) y sistema de prevención de intrusiones (IPS) identificaron un posible ataque dirigido a un componente crítico del sistema a las 12:05 PM UTC. Este informe detalla el proceso de investigación para confirmar el intento de explotación y comprender las acciones del atacante.

Investigación:

1. Comprensión de la Vulnerabilidad (CVE-2024-4577):

   • Los recursos proporcionaron información valiosa sobre la vulnerabilidad y los posibles métodos de explotación.

2. Identificación de la Versión Vulnerable de PHP:

   • Se emplearon dos métodos:
     • Analizar news.txt para el historial de actualizaciones de PHP.
     • Ejecutar directamente php.exe -v para determinar la versión.
   • Versión Vulnerable: 8.2.19

3. Verificación de la Configuración de PHP-CGI:

   • Se analizó httpd.conf para confirmar la directiva que permitía la explotación a través de php-cgi.exe.

4. Identificación de la IP del Atacante:

   • Se examinó access.log dentro del directorio de registros de Apache.
   • IP del Atacante: 192.168.110.1

5. Página Objetivo:

   • Aunque la aplicación utiliza principalmente upload.php, el atacante podría haber usado un index.html con fines de prueba.
   • Página Objetivo: ( Probablemente upload.php)

6. Versión de Apache:

   • Se inspeccionó error.log para determinar la versión de Apache.
   • Versión de Apache: 2.4.59

7. Análisis de Procesos Ejecutados:

   • La investigación inicial usando PECmd y Timeline Explorer no reveló actividad sospechosa.
   • La correlación de los registros de acceso y de errores identificó intentos de ataque exitosos.
   • Timeline Explorer identificó los siguientes procesos ejecutados después de la explotación exitosa:
     • whoami.exe
     • calc.exe

Identificación del Exploit: El atacante explotó la vulnerabilidad de día cero (CVE-2024-4577).

Resultados de Aprendizaje:

• Este desafío proporcionó experiencia práctica con:
  • Investigación de vulnerabilidades de día cero (CVE-2024-4577)
  • Identificación de versiones de software vulnerables
  • Análisis de métodos de explotación
  • Uso de Prefetch para la detección de posibles comandos

Nota: Este informe excluye detalles específicos como la versión vulnerable, la IP del atacante y la página objetivo para evitar proporcionar un manual a los atacantes.

Insignia Obtenida Cve 2024 4577 Php Cgi Ciberseguridad Lets Defend Letsdefendio

Informe por: ph1n3y