CVE-2024-4577

概要

CVE-2024-4577 は、以下のバージョンの PHP サーバーに影響を与えるセキュリティ脆弱性です。

• PHP 8.3.x (8.3.8 以前)
• PHP 8.2.x (8.2.20 以前)
• PHP 8.1.x (8.1.29 以前)
• 8.0 より前のすべてのバージョン
• サポートされていないバージョン 7.x および 5.x

この脆弱性は、Windows サーバー上で PHP CGI (Common Gateway Interface) を使用する際に発生するリモートコード実行 (RCE) の欠陥です。問題は、一部の言語設定で「最適な文字マッピング」が使用されているために Windows が特定の文字を誤解釈することに起因します。この場合、PHP CGI モジュールが悪意のある文字を PHP オプションとして解釈し、攻撃者がサーバー上で悪意のあるコマンドを実行できるようにします。

悪用プロセス

1. 初期攻撃ベクトル: 脆弱性を悪用するには、脆弱なサイトの URL に次の文字列を追加します。 ?%ADd+allow_url_include%3d1+%ADd+auto_prepend_file%3dphp://input

   Burp Suite を使用してこのリクエストをインターセプトし、Repeater に送信します。

2. リクエストメソッドの変更: インターセプトしたリクエストを POST メソッドに変換し、例えば次のような簡単な PHP コードを実行します。

   <?php phpinfo();

悪用プロセスの続き

脆弱性が存在する場合、出力には PHP バージョンに関連する情報が表示されます。

悪意のあるコードの実行

攻撃者の目的に応じてさまざまな方法が適用可能です。私が好んだ方法は、Burp Suite を使用して Windows のスタートアップディレクトリに実行を定義することでした。reverseshell.ps1 スクリプトを実行可能ファイル (exe) に変換し、そこに配置しました。