php-cgi-cve-2024-4577

php-cgi-cve-2024-4577

국외 IP 내부서버로 PHP-CGI CVE-2024-4577 Argument Injection 이벤트 탐지에 등록된 php 언어의 cgi 모드에서 발생하는 원격 코드 실행 취약점이며, 윈도우 환경에서 php가 cgi 모드로 실행될 경우 유니코드 문자를 지원하지 않는 시스템에서도 가장 유사한 문자로 매핑하여 변환하는 Best-fit 기능이 잘못된 인코딩 변환을 일으켜 발생하는 이벤트

-> Raw Data

POST /php-cgi/php-cgi%ADd + cgiforce_redirect%3D0 + %ADd + disable_functions%3D%22%22 + %ADd

%AD <- %뒤에 오는 두 문자를 Decode 하였더니 아무 문자도 나오지 않는다 이는 이 php가 자동으로 변환해주는(좋은뜻으로) 기능을 악용하여 악성코드를 삽입한다거나 하는 2차 공격이 이어질 수 있으므로 차단. Block