PHP-CGI Windows प्लेटफ़ॉर्म पर रिमोट कोड एक्ज़ीक्यूशन भेद्यता (CVE-2024-4577)

परिचय

PHP, Hypertext Preprocessor (हाइपरटेक्स्ट प्रीप्रोसेसर) का संक्षिप्त रूप है, यह अब एक व्यापक रूप से उपयोग की जाने वाली ओपन-सोर्स स्क्रिप्टिंग भाषा है, जो विशेष रूप से वेब डेवलपमेंट और HTML में एम्बेड करने के लिए उपयुक्त है, और इसका उपयोग करना बहुत सरल है। CGI, अंग्रेजी में कॉमन गेटवे इंटरफ़ेस कहलाता है। जब Apache को PHP स्क्रिप्ट मिलती है, तो वह PHP प्रोग्राम को CGI एप्लिकेशन (php-cgi.exe) को समझाने के लिए सौंप देता है, और व्याख्या के बाद परिणाम Apache को लौटा देता है, फिर Apache संबंधित अनुरोध करने वाले उपयोगकर्ता को लौटा देता है।

भेद्यता विवरण

PHP डिज़ाइन करते समय Windows में Best-Fit वर्ण रूपांतरण सुविधा को अनदेखा कर देता है। जब PHP-CGI Windows प्लेटफ़ॉर्म पर चलता है और विशिष्ट लोकेल (जैसे सरलीकृत चीनी 936, पारंपरिक चीनी 950, जापानी 932, आदि) का उपयोग करता है, तो हमलावर विशेष क्वेरी स्ट्रिंग बना सकते हैं। URL डिकोडिंग के बाद, इन स्ट्रिंग्स में विशिष्ट गैर-ASCII वर्ण हो सकते हैं, जो Windows सिस्टम पर हाइफ़न में मैप हो जाते हैं, जिससे CVE-2012-1823 और CVE-2012-2311 पैच को बायपास करके, CGI मोड के कमांड-लाइन पैरामीटर बनाए जा सकते हैं और मनमाना PHP कोड निष्पादित किया जा सकता है।

प्रभावित संस्करण

PHP Windows संस्करण 8.3.0 <= प्रभावित संस्करण < 8.3.8 PHP Windows संस्करण 8.2.0 <= प्रभावित संस्करण < 8.2.20 PHP Windows संस्करण 8.1.0 <= प्रभावित संस्करण < 8.1.29 PHP Windows संस्करण प्रभावित संस्करण == 8.0.x PHP Windows संस्करण प्रभावित संस्करण == 7.x PHP Windows संस्करण प्रभावित संस्करण == 5.x XAMPP Windows संस्करण 8.2.0 <= प्रभावित संस्करण <= 8.2.12 XAMPP Windows संस्करण 8.1.0 <= प्रभावित संस्करण <= 8.1.25 XAMPP Windows संस्करण प्रभावित संस्करण == 8.0.x XAMPP Windows संस्करण प्रभावित संस्करण == 7.x XAMPP Windows संस्करण प्रभावित संस्करण == 5.x