La vulnerabilità esiste all'interno dell'implementazione CGI di PHP (php-cgi).

Normalmente, i parametri della query HTTP sono destinati a essere passati agli script PHP come input utente.

Tuttavia, PHP elabora erroneamente stringhe di query appositamente create che non contengono un carattere uguale (=).

Invece di trattare la stringa di query puramente come dati utente, PHP interpreta erroneamente porzioni di essa come argomenti della riga di comando passati direttamente all'eseguibile PHP.

Poiché PHP supporta numerosi interruttori da riga di comando (come -d), un attaccante può sovrascrivere le opzioni di configurazione di runtime di PHP durante l'elaborazione della richiesta.

Ciò consente all'attaccante di:

• Abilitare direttive PHP pericolose
• Disabilitare restrizioni di sicurezza
• Anteporre automaticamente codice PHP controllato dall'attaccante
• Eseguire comandi PHP arbitrari
• Ottenere il controllo completo sul processo del server web

La causa principale è la gestione impropria di php_getopt() all'interno di:

Nello specifico, PHP non è riuscito a ignorare correttamente l'analisi della riga di comando durante l'elaborazione di stringhe di query dannose prive del segno di uguale (=). :contentReference[oaicite:1]{index=1}

Causa Principale

L'eseguibile CGI accetta parametri da riga di comando.

Per esempio:

Normalmente questi parametri dovrebbero provenire solo dal sistema operativo.

Invece, PHP ha permesso erroneamente alle richieste HTTP di iniettare tali parametri attraverso URL appositamente creati.

L'attaccante poteva quindi manipolare la configurazione di runtime di PHP prima che lo script di destinazione venisse eseguito.

Ciò ha effettivamente trasformato una semplice richiesta HTTP in un'esecuzione da riga di comando contro php-cgi.

Versioni Affette

Le seguenti versioni di PHP sono vulnerabili:

Solo le installazioni che utilizzano la modalità CGI (php-cgi) sono interessate.

PHP eseguito come:

• Apache Module (mod_php)
• PHP-FPM
• Implementazioni FastCGI che non sono vulnerabili a questo difetto di parsing

generalmente non sono interessate da CVE-2012-1823 stesso. :contentReference[oaicite:2]{index=2}

Requisiti dell'Attacco

Un attaccante richiede solo:

• Connettività di rete verso il target
• PHP eseguito come CGI
• Nessuna autenticazione
• Nessun account utente valido
• Nessuna interazione da parte di una vittima

La vulnerabilità è completamente sfruttabile da remoto.

Processo di Sfruttamento

L'attacco segue tipicamente queste fasi:

1. Scoprire l'endpoint PHP CGI.
2. Inviare una richiesta HTTP appositamente creata.
3. Iniettare argomenti da riga di comando PHP.
4. Sovrascrivere le impostazioni di runtime PHP.
5. Eseguire codice PHP controllato dall'attaccante.
6. Ottenere l'Esecuzione Remota di Codice.

Una volta ottenuta l'esecuzione del codice, gli attaccanti comunemente:

• Caricare web shell
• Eseguire comandi di sistema
• Leggere file sensibili
• Scaricare database
• Installare malware
• Stabilire persistenza
• Muoversi più a fondo nelle reti interne

Impatto

Uno sfruttamento riuscito porta al compromesso completo dell'applicazione PHP.

Le potenziali conseguenze includono:

• Esecuzione Remota di Codice
• Compromesso completo del sito web
• Furto del database
• Divulgazione delle credenziali
• Distribuzione di malware
• Installazione di web shell
• Dirottamento del server
• Movimento laterale
• Escalation dei privilegi (a seconda della configurazione del server)

Se PHP viene eseguito con privilegi elevati, potrebbe essere possibile anche un compromesso a livello di sistema.

CVSS v3.1

Perché Questa Vulnerabilità Era Così Pericolosa

Diverse caratteristiche hanno reso CVE-2012-1823 particolarmente impattante:

• Sfruttabile su HTTP.
• Nessuna autenticazione richiesta.
• Sfruttamento affidabile.
• Vulnerabilità a livello di interprete.
• Colpisce tutte le applicazioni PHP ospitate.
• Codice di sfruttamento pubblico è diventato disponibile poco dopo la divulgazione.
• Supportato da framework di penetration testing.
• Ampiamente utilizzato in campagne di scansione Internet automatizzate.

La sua combinazione di facilità di sfruttamento e grave impatto ha portato a estesi attacchi nel mondo reale e alla sua inclusione nel catalogo delle Vulnerabilità Note Sfruttate (KEV) di CISA. :contentReference[oaicite:4]{index=4}

Rilevamento

Gli amministratori dovrebbero verificare:

• Versione di PHP
• Modalità di distribuzione
• Presenza di php-cgi
• Configurazione del server web

Gli indicatori includono:

• Eseguibile CGI esposto via HTTP
• Direttive di runtime PHP inaspettate
• Richieste sospette contenenti interruttori da riga di comando codificati
• Richieste prive di '=' nelle stringhe di query

Scanner di sicurezza come Nuclei, Nessus, OpenVAS e moduli Metasploit possono rilevare configurazioni vulnerabili. :contentReference[oaicite:5]{index=5}

Mitigazione

Le mitigazioni raccomandate includono:

• Aggiornare PHP a:
  • 5.3.12 o successiva
  • 5.4.2 o successiva
• Disabilitare la modalità CGI dove possibile.
• Migrare a PHP-FPM.
• Limitare l'accesso agli eseguibili php-cgi.
• Applicare le patch di sicurezza del fornitore.
• Implementare un Web Application Firewall (WAF) in grado di bloccare tentativi dannosi di iniezione di argomenti CGI.

Cronologia

Dichiarazione di Esclusione di Responsabilità

Questo repository è destinato esclusivamente a scopi educativi, ricerca sulla sicurezza, analisi delle vulnerabilità e test difensivi. Qualsiasi informazione qui contenuta dovrebbe essere utilizzata solo su sistemi per i quali si dispone di autorizzazione esplicita. Lo sfruttamento non autorizzato di sistemi vulnerabili è illegale e non etico.