CVE-2024-4577 PoC 익스플로잇

설명

이 저장소는 Windows에서 실행되는 모든 버전의 PHP에 영향을 미치는 치명적인 취약점인 CVE-2024-4577에 대한 개념 증명(PoC) 익스플로잇을 포함합니다. 이 취약점을 통해 공격자는 원격으로 임의 코드를 실행할 수 있습니다. 또한 이 결함은 Windows 시스템에 설치된 XAMPP 개발 환경에도 영향을 미칩니다. 연구원들은 이 취약점을 대상으로 한 활발한 스캔 활동을 관찰했으며, 영향을 받는 조직은 PHP 설치를 신속하게 업데이트하는 것이 중요합니다.

취약점 세부 정보

이 취약점은 2012년으로 거슬러 올라가는 별도의 취약점(CVE-2012-1823)에 대한 불완전한 수정으로 인해 발생한 인수 주입(argument injection) 버그에서 비롯됩니다. PHP 개발 팀은 Windows 운영 체제의 인코딩 변환 기능 중 Best-Fit 기능을 간과했으며, 이로 인해 인증되지 않은 공격자가 이전 보호 조치를 우회할 수 있게 되었습니다. 이러한 실수로 인해 공격자는 인수 주입 공격을 통해 원격 PHP 서버에서 임의 코드를 실행할 수 있습니다.

악용 시나리오

1. CGI 모드에서 실행 중인 PHP: 공격자는 웹 서버 구성에서 일반적으로 사용되는 CGI 모드로 PHP가 구성된 경우 이 취약점을 직접 악용할 수 있습니다.
2. CGI 디렉터리에 노출된 PHP 바이너리(XAMPP): 널리 사용되는 PHP 개발 환경인 XAMPP의 기본 모드는 CGI 디렉터리에 PHP 바이너리를 노출하므로 악용에 취약합니다.

사용 방법

1. 다음 명령어를 사용하여 도구를 설치합니다:

   go install -v github.com/zomasec/CVE-2024-4577/cmd/CVE-2024-4577
   

2. 다음 플래그와 함께 도구를 사용합니다:

   CVE-2024-4577 -l/-d <hostsFile>/<host> -c <concurrency> -timeout <timeout>
   

   • -l: 스캔할 호스트 목록이 포함된 파일.
   • -d: 스캔할 단일 호스트.
   • -c: 동시 스캔 수(기본값: 10).
   • -timeout: 요청 제한 시간(초)(기본값: 5).

   예시:

   CVE-2024-4577 -l hosts.txt -c 20 -timeout 10
   

3. 다음 dorks를 사용할 수 있습니다: Hunter:header.server="PHP" FOFA: server="PHP" SHODAN: server: PHP os:Windows

---

리소스

1. Tenable 블로그 - PHP CGI 인수 주입 취약점 CVE-2024-4577 PoC 사용 가능
2. Duo Decipher - 치명적인 PHP 결함 CVE-2024-4577 패치됨