CVE-2024-4577 PoCエクスプロイト

説明

このリポジトリには、Windows上で動作するすべてのバージョンのPHPに影響を与える深刻な脆弱性であるCVE-2024-4577の概念実証（PoC）エクスプロイトが含まれています。この脆弱性により、攻撃者はリモートで任意のコードを実行できます。この欠陥は、WindowsシステムにインストールされているXAMPP開発環境にも影響します。研究者らはこの脆弱性に対する活発なスキャンを観察しており、影響を受ける組織はPHPインストールを速やかに更新することが重要です。

脆弱性の詳細

この脆弱性は、2012年（CVE-2012-1823）に遡る別の脆弱性に対する不完全な修正に起因する引数インジェクションのバグに由来します。PHP開発チームは、Windowsオペレーティングシステム内のエンコーディング変換におけるBest-Fit機能を見落としており、認証されていない攻撃者が以前の保護を回避できるようになっていました。この見落としにより、攻撃者は引数インジェクション攻撃を介してリモートのPHPサーバー上で任意のコードを実行できます。

悪用シナリオ

1. CGIモードで動作するPHP: PHPがCGIモードで構成されている場合、攻撃者はこの脆弱性を直接悪用できます。CGIモードはWebサーバー構成で一般的に使用されます。
2. CGIディレクトリに公開されたPHPバイナリ（XAMPP）: 人気のPHP開発環境であるXAMPPのデフォルトモードは、CGIディレクトリ内のPHPバイナリを公開するため、悪用に対して脆弱です。

使用方法

1. 次のコマンドでツールをインストールします:

   go install -v github.com/zomasec/CVE-2024-4577/cmd/CVE-2024-4577
   

2. 次のフラグを指定してツールを使用します:

   CVE-2024-4577 -l/-d <hostsFile>/<host> -c <concurrency> -timeout <timeout>
   

   • -l: スキャンするホストのリストを含むファイル。
   • -d: スキャンする単一のホスト。
   • -c: 並行スキャン数（デフォルトは10）。
   • -timeout: リクエストのタイムアウト（秒）（デフォルトは5）。

   例:

   CVE-2024-4577 -l hosts.txt -c 20 -timeout 10
   

3. 次のdorksを使用できます: Hunter:header.server="PHP" FOFA: server="PHP" SHODAN: server: PHP os:Windows

---

リソース

1. Tenableブログ - PHP CGI引数インジェクションの脆弱性CVE-2024-4577の概念実証が公開
2. Duo Decipher - 深刻なPHPの欠陥CVE-2024-4577がパッチ適用済み