CVE-2024-4577 Exploit PoC

Descrizione

Questo repository contiene un proof-of-concept (PoC) per CVE-2024-4577, una vulnerabilità critica che colpisce tutte le versioni di PHP in esecuzione su Windows. La vulnerabilità consente agli aggressori di eseguire codice arbitrario da remoto. Il difetto interessa anche l’ambiente di sviluppo XAMPP installato su sistemi Windows. I ricercatori hanno osservato scansioni attive per questa vulnerabilità, rendendo fondamentale per le organizzazioni colpite aggiornare prontamente le proprie installazioni PHP.

Dettagli della vulnerabilità

La vulnerabilità deriva da un bug di injection degli argomenti, conseguenza di una correzione incompleta per una vulnerabilità separata risalente al 2012 (CVE-2012-1823). Il team di sviluppo PHP ha trascurato la funzionalità Best-Fit della conversione della codifica all'interno del sistema operativo Windows, consentendo ad aggressori non autenticati di aggirare le protezioni precedenti. Questa svista permette agli aggressori di eseguire codice arbitrario su server PHP remoti tramite un attacco di injection degli argomenti.

Scenari di sfruttamento

1. PHP in esecuzione in modalità CGI: Gli aggressori possono sfruttare questa vulnerabilità direttamente quando PHP è configurato in modalità CGI, comunemente utilizzata nelle configurazioni dei server web.
2. Binario PHP esposto nella directory CGI (XAMPP): La modalità predefinita di XAMPP, un popolare ambiente di sviluppo PHP, espone il binario PHP nella directory CGI, rendendolo vulnerabile allo sfruttamento.

Utilizzo

1. Installare lo strumento usando il comando:

   root@kitploit:~

   go install -v github.com/zomasec/CVE-2024-4577/cmd/CVE-2024-4577
   

2. Usare lo strumento con i seguenti flag:

   root@kitploit:~

   CVE-2024-4577 -l/-d <fileHost>/<host> -c <concorrenza> -timeout <timeout>
   

   • -l: File contenente un elenco di host da scansionare.
   • -d: Singolo host da scansionare.
   • -c: Numero di scansioni concorrenti (predefinito 10).
   • -timeout: Timeout della richiesta in secondi (predefinito 5).

   Esempio:

   root@kitploit:~

   CVE-2024-4577 -l hosts.txt -c 20 -timeout 10
   

3. Puoi usare questi dork: Hunter:header.server="PHP" FOFA: server="PHP" SHODAN: server: PHP os:Windows

---

Risorse

1. Tenable Blog - CVE-2024-4577 Proof of Concept Available for PHP CGI Argument Injection Vulnerability
2. Duo Decipher - Critical PHP Flaw CVE-2024-4577 Patched