CVE-2024-4577 - PHP CGI 引数注入検出ラボ

CVE-2024-4577（PHP CGI 引数注入）のための完全な検出エンジニアリングラボ。事前構築済みの Vagrant ボックス、Wazuh SIEM ルール、および Blue Team トレーニング用のエクスプロイトツールが含まれています。

含まれるもの

• Windows Server 2022 VM - 脆弱な XAMPP + PHP-CGI、Sysmon、Wazuh エージェント
• Kali Linux VM - 事前インストール済みのエクスプロイトスクリプト
• Wazuh SIEM - Docker ベース、54 の本番検出ルール付き
• 検出ルール - Wazuh XML、Sigma YAML、IOC

クイックスタート

前提条件

• Vagrant 2.3+
• VirtualBox 7.0+
• Docker
• 最小 12GB RAM

1. Wazuh SIEM を起動

cd wazuh
docker compose up -d
# Dashboard: https://localhost:443 (admin / SecretPassword)

2. ラボ VM を起動

vagrant up
# 初回実行時に約12GBダウンロード

3. VM の IP を取得

VBoxManage guestproperty enumerate "DetectionLab-Windows" | grep IP
VBoxManage guestproperty enumerate "DetectionLab-Kali" | grep IP

4. 攻撃を実行

vagrant ssh kali
python3 ~/exploits/CVE-2024-4577.py --url http://<WINDOWS_IP>/ --cmd "whoami"

5. 検出を確認

Wazuh Dashboard -> Discover -> フィルター: rule.id: 100442

Vagrant ボックス

HCP Vagrant Registry 上の事前構築済みボックス:

• CVE-2024-4577/windows - Windows Server 2022 ターゲット
• CVE-2024-4577/kali - Kali Linux 攻撃者

検出カバレッジ（54 ルール）

資格情報

プロジェクト構造

CVE-2024-4577/
├── Vagrantfile           # Lab VM definitions
├── README.md             # This file
├── detections/           # Detection rules
│   ├── wazuh-rules.xml   # 54 Wazuh detection rules
│   ├── sigma-rules.yml   # Sigma format rules
│   ├── iocs.json         # Indicators of Compromise
│   └── detection-guide.md
└── wazuh/                # Wazuh SIEM stack
    └── docker-compose.yml

CVE 詳細

• CVE ID: CVE-2024-4577
• タイプ: リモートコード実行
• CVSS: 9.8 (Critical)
• 影響を受けるバージョン: PHP 8.1 < 8.1.29, 8.2 < 8.2.20, 8.3 < 8.3.8 (Windows + CGI モード)
• 根本原因: Windows の Best-Fit エンコーディングにおいて、ソフトハイフン (0xAD) が CVE-2012-1823 の修正をバイパスする

ライセンス

MIT