CVE-2024-4577 Exploit PoC

Descripción

Este repositorio contiene un exploit de prueba de concepto (PoC) para CVE-2024-4577, una vulnerabilidad crítica que afecta a todas las versiones de PHP que se ejecutan en Windows. La vulnerabilidad permite a los atacantes ejecutar código arbitrario de forma remota. La falla también afecta al entorno de desarrollo XAMPP instalado en sistemas Windows. Los investigadores han observado escaneos activos dirigidos a esta vulnerabilidad, por lo que es crucial que las organizaciones afectadas actualicen sus instalaciones de PHP de inmediato.

Detalles de la vulnerabilidad

La vulnerabilidad se origina en un fallo de inyección de argumentos como resultado de una corrección incompleta de una vulnerabilidad separada que data de 2012 (CVE-2012-1823). El equipo de desarrollo de PHP pasó por alto la función Best-Fit de la conversión de codificación dentro del sistema operativo Windows, lo que permite a atacantes no autenticados omitir las protecciones anteriores. Este descuido permite a los atacantes ejecutar código arbitrario en servidores PHP remotos mediante un ataque de inyección de argumentos.

Escenarios de explotación

1. PHP ejecutándose en modo CGI: Los atacantes pueden explotar esta vulnerabilidad directamente cuando PHP está configurado en modo CGI, comúnmente utilizado en configuraciones de servidores web.
2. Binario PHP expuesto en el directorio CGI (XAMPP): El modo predeterminado de XAMPP, un popular entorno de desarrollo PHP, expone el binario de PHP en el directorio CGI, lo que lo hace vulnerable a la explotación.

Uso

1. Instale la herramienta usando el comando:

   root@kitploit:~

   go install -v github.com/zomasec/CVE-2024-4577/cmd/CVE-2024-4577
   

2. Use la herramienta con las siguientes opciones:

   root@kitploit:~

   CVE-2024-4577 -l/-d <hostsFile>/<host> -c <concurrency> -timeout <timeout>
   

   • -l: Archivo que contiene una lista de hosts a escanear.
   • -d: Host individual a escanear.
   • -c: Número de escaneos concurrentes (por defecto es 10).
   • -timeout: Tiempo de espera de la solicitud en segundos (por defecto es 5).

   Ejemplo:

   root@kitploit:~

   CVE-2024-4577 -l hosts.txt -c 20 -timeout 10
   

3. Puedes usar estos dorks : Hunter:header.server="PHP" FOFA: server="PHP" SHODAN: server: PHP os:Windows

---

Recursos

1. Blog de Tenable - Prueba de concepto disponible para la vulnerabilidad de inyección de argumentos en PHP CGI CVE-2024-4577
2. Duo Decipher - Corregida la falla crítica de PHP CVE-2024-4577