Exploit PoC CVE-2024-4577

Description

Ce dépôt contient un exploit de preuve de concept (PoC) pour CVE-2024-4577, une vulnérabilité critique affectant toutes les versions de PHP fonctionnant sous Windows. La vulnérabilité permet à des attaquants d'exécuter du code arbitraire à distance. La faille impacte également l'environnement de développement XAMPP installé sur les systèmes Windows. Des chercheurs ont observé des scans actifs ciblant cette vulnérabilité, ce qui rend crucial pour les organisations concernées de mettre à jour rapidement leurs installations PHP.

Détails de la vulnérabilité

La vulnérabilité provient d'un bug d'injection d'arguments résultant d'un correctif incomplet pour une autre vulnérabilité datant de 2012 (CVE-2012-1823). L'équipe de développement de PHP a négligé la fonctionnalité Best-Fit de conversion d'encodage du système d'exploitation Windows, permettant à des attaquants non authentifiés de contourner les protections précédentes. Cette omission permet aux attaquants d'exécuter du code arbitraire sur des serveurs PHP distants via une attaque par injection d'arguments.

Scénarios d'exploitation

1. PHP fonctionnant en mode CGI : Les attaquants peuvent exploiter cette vulnérabilité directement lorsque PHP est configuré en mode CGI, couramment utilisé dans les configurations de serveurs web.
2. Binaire PHP exposé dans le répertoire CGI (XAMPP) : Le mode par défaut de XAMPP, un environnement de développement PHP populaire, expose le binaire PHP dans le répertoire CGI, ce qui le rend vulnérable à l'exploitation.

Utilisation

1. Installez l'outil à l'aide de la commande :

   root@kitploit:~

   go install -v github.com/zomasec/CVE-2024-4577/cmd/CVE-2024-4577
   

2. Utilisez l'outil avec les options suivantes :

   root@kitploit:~

   CVE-2024-4577 -l/-d <hostsFile>/<host> -c <concurrency> -timeout <timeout>
   

   • -l : Fichier contenant une liste d'hôtes à analyser.
   • -d : Hôte unique à analyser.
   • -c : Nombre d'analyses simultanées (défaut : 10).
   • -timeout : Délai d'attente des requêtes en secondes (défaut : 5).

   Exemple :

   root@kitploit:~

   CVE-2024-4577 -l hosts.txt -c 20 -timeout 10
   

3. Vous pouvez utiliser ces dorks : Hunter :header.server="PHP" FOFA : server="PHP" SHODAN : server: PHP os:Windows

---

Ressources

1. Blog Tenable - Preuve de concept disponible pour la vulnérabilité d'injection d'arguments CGI de PHP CVE-2024-4577
2. Duo Decipher - La faille PHP critique CVE-2024-4577 corrigée